Statistical anomaly detection methods of data communication

摘要

Tato práce slouží jako teoretický základ pro praktické řešení problematiky použití statistických metod pro detekci anomálií v datovém provozu. Základní zaměření detekcí anomálií datového provozu je na datové útoky. Proto hlavní náplní je analýza datových útoků. V rámci řešení jsou datové útoky řazeny dle protokolů, které útočníci ke své činnosti zneužívají. V každé části je popsán samotný protokol, jeho využití a chování. Pro každý protokol je postupně řešen popis jednotlivých útoků, včetně metodiky vedení útoku a postihů na napadený systém nebo stanice. Dále jsou pro nejzávažnější útoky nastíněny postupy jejich detekce a případné možnosti obrany proti nim. Tyto poznatky jsou shrnuty do teoretické analýzy, která by měla sloužit jako výchozí bod pro praktickou část, kterou bude samotná analýza reálného datového provozu. Praktická část je rozdělena do několika oddílů. První z nich popisuje postupy pro získávání a přípravu vzorků tak, aby na nich bylo možné provést další analýzy. Dále jsou zde popsány vytvořené skripty, které slouží pro získávání potřebných dat ze zaznamenaných vzorků. Tato data jsou detailně analyzována za použití statistických metod, jako jsou časové řady a popisná statistika. Následně jsou získané vlastnosti a sledovaná chování ověřována za pomocí uměle vytvořených i reálných útoků, kterými je původní čistý provoz modifikován. Pomocí nové analýzy jsou modifikované provozy porovnány s původními vzorky a provedeno vyhodnocení, zda se podařilo nějaký druh anomálie detekovat. Získané výsledky a sledování jsou souhrnně shrnuty a vyhodnoceny v samostatné kapitole s popisem dalších možných útoků, které nebyly přímou součástí testovací analýzy.