Vi presenterar en lastbaserad anomalidetektor, vi kallar PAYL, för intrångsdetektering. PAYL modellerar den normala applikationen nyttolast av nätverkstrafik på ett helt automatiskt, oövervakat sätt. Den metod vi väljer är mycket effektiv; vårt mål är att distribuera detektorn i miljöer med hög bandbredd antingen på en brandvägg, en nätverksapparat, en proxyserver eller på målvärdarna. Vi beräknar först under en träningsfas en profil byte frekvensfördelning och deras standardavvikelse av applikationen nyttolast som flyter till en enda värd och port. Vi använder sedan Mahalanobis avstånd under detektionsfasen för att beräkna likheten mellan nya data och den förberäknade profilen. Detektorn jämför denna åtgärd mot en tröskel och genererar en varning när avståndet för den nya inmatningen överstiger denna tröskel. Modellen är värd- och portspecifik och är villkorad av nyttolastlängden. Således är en uppsättning profiler beräknas för varje möjlig längd nyttolast. En andra fas samlar profilerna för att öka noggrannheten och minska resursförbrukningen. Metoden har fördelen att vara mycket snabb att beräkna, är tillståndslös och tolkar inte inmatningsströmmen, genererar en liten modell, och kan enkelt ändras till en inkrementell online inlärningsalgoritm så att modellen kontinuerligt uppdateras för att upprätthålla en korrekt normal modell i realtid. Modelleringsmetoden är helt oövervakad och tolerant mot buller i träningsdata. Dessutom är metoden också motståndskraftig mot imitering-attack; angripare skulle behöva modellera webbplatsens normala nyttolast fördelningar för att stoppa sin förgiftade nyttolast att gå obemärkt förbi detektorn. Vi visar den överraskande effektiviteten i metoden på 1999 DARPA IDS dataset och en live dataset som vi samlat på Columbia CS avdelning nätverk. I en gång fallet nästan 100% noggrannhet uppnås med.1% falskt positiv hastighet för hamn 80 trafik. Anomalidetektorn för nyttolast är utformad för att vara en komponent i ett integrerat och korrelerat detektionssystem, inklusive andra detektorer för att mildra falska positiva effekter, och för att berika den information som finns tillgänglig från alla detektorer för att försvara sig mot nolldagarsmaskar och nya attacker.
PAYL REF är ett system för upptäckt av lastavvikelser baserat på en 1-gramsanalys.
Anomalous Payload-Based Network Intrusion Detection
{'venue': 'RAID', 'journal': None, 'mag_field_of_study': ['Computer Science']}