Створення модулю виявлення аномалій для системи виявлення вторгнень "Snort"

Abstract

Кваліфікаційна робота присвячена розробці спеціалізованого модуля виявлення аномалій для системи виявлення вторгнення Snort на базі нейромережевого методу аналізу активності в мережі. Проаналізована предметна область дослідження, Докладно описано структуру, методи роботи та архітектуру системи Snort. Для вирішення завдань, котрі пов'язані із аналізом мережного трафіку та задач запобігання виявлення вторгнень в мережу, варто використати алгоритми машинного навчання чи застосувати можливості нейромереж. Запропоновано змінити наявну архітектуру Snort шляхом інтегрування в неї додаткового адаптивного нейромережевого модуля (на основі само організаційних карт Кохонена). Він здатний виявити невідомий чи шкідливий трафік. Нейромережевий модуль та стандартний набір правил Snort функціонуватимуть паралельно з метою точнішого виявлення такого трафіку. Розглянуто кластеризаційний алгоритм, із застосуванням якого представлено метод функціонування модуля. Експериментальні дослідження із застосуванням моделі розробленого модуля підтверджують можливість виявлення вторгнень у мережу. Thesis deals with the development of a specialized anomaly detection module for the Snort intrusion detection system based on the neural network method of network activity analysis. The subject area of research is analyzed, the structure, work methods and architecture of the Snort system are described in detail. To solve tasks related to the analysis of network traffic and the tasks of preventing detection of network intrusions, it is worth using machine learning algorithms or applying the capabilities of neural networks. It is proposed to modify the existing Snort architecture by integrating an additional adaptive neural network module (based on Kohonen self-organizing maps) into it. It is capable of detecting unknown or malicious traffic. The neural network module and the standard Snort ruleset will operate in parallel to more accurately detect such traffic. A detailed clustering algorithm, with the application of which the method of functioning of the module is presented. Experimental studies using the model of the developed module confirm the possibility of detecting network intrusions.