Розробка системи виявлення вторгнень на основі аналізу аномалій у мережевому трафіку з використанням машинного навчання

Abstract

Кваліфікаційна робота присвячена дослідженню ефективності використання машинного навчання в контексті аналізу мережевого трафіку на предмет зловмисної активності. Адже існуючі системи виявлення вторгнень, здебільшого, базуються на сигнатурному підході, який потребує періодичного втручання в конфігурацію для впровадження оновлень з метою підтримки рівня ефективності. В ході дослідження розгорнуто систему виявлення вторгнень Snort з метою порівняння традиційної IDS із системою на основі машинного навчання. Також розроблено систему машинного навчання з використанням алгоритму класифікації Random Forest, яку було навчено на наборі даних CICIDS2017. Кожну з систем було налаштовано на моніторинг мережевого трафіку в локальній мережі в режимі реального часу з метою виявлення аномалій. Робота спрямована на розробку інструменту для моніторингу мережевого трафіку для мінімізації хибно-позитивних спрацьовувань за рахунок попередньо навченої моделі машинного навчання на наборі даних з прикладами легітимного та зловмисного трафіку. Отримані результати мають велике значення для аналітиків з кібербезпеки, адже пропонують альтернативний спосіб моніторингу трафіку в мережі, який є більш гнучким та має високу точність спрацьовувань. The qualifying work is devoted to the study of the effectiveness of using machine learning in the context of analyzing network traffic for malicious activity. Existing intrusion detection systems are mostly based on a signature approach, which requires periodic intervention in the configuration to implement updates in order to maintain the level of efficiency. During the study, the Snort intrusion detection system was deployed to compare the traditional IDS with a system based on machine learning. A machine learning system was also developed using the Random Forest classification algorithm, which was trained on the CICIDS2017 dataset. Each of the systems was configured to monitor network traffic in the local network in real time in order to detect anomalies. The work is aimed at developing a tool for monitoring network traffic to minimize false positives due to a pre-trained machine learning model on a dataset with examples of legitimate and malicious traffic. The results obtained are of great importance to cybersecurity analysts, as they offer an alternative way of monitoring network traffic that is more flexible and has high accuracy of detections.