Ofta är hamnskanningar tidiga indikatorer på allvarligare attacker. Tyvärr är upptäckten av långsamma portsökningar i företagsnätverk en utmaning på grund av den massiva mängden nätverksdata. I detta dokument föreslås ett innovativt tillvägagångssätt för förbehandling av flödesbaserade data som är särskilt anpassade för att upptäcka långsamma hamnskanningar. Förbehandlingskedjan genererar nya objekt baserade på flödesbaserade data aggregerade över tid fönster samtidigt som domänkunskap samt ytterligare kunskap om nätverksstrukturen beaktas. De beräknade objekten används som indata för den fortsatta analysen. Baserat på dessa objekt föreslår vi två olika metoder för att upptäcka långsamma portskanningar. En metod är oövervakad och använder sekventiell hypotes testning medan den andra metoden övervakas och använder klassificeringsalgoritmer. Vi jämför båda metoderna med befintliga portskanning detektionsalgoritmer på den flödesbaserade CIDDS-001 datamängden. Experiment visar att de föreslagna tillvägagångssätten uppnår bättre detektionshastigheter och uppvisar mindre falsklarm än liknande algoritmer.
Och Ring et al. REF utforskade långsam port skannar detektion med hjälp av CIDDS-001.
Detection of slow port scans in flow-based network traffic
{'venue': 'PLoS ONE', 'journal': 'PLoS ONE', 'mag_field_of_study': ['Medicine', 'Computer Science']}