Entropy-baserade metoder för anomali upptäckt är tilltalande eftersom de ger mer finkorniga insikter än traditionell trafik volymanalys. Även om det tidigare arbetet har visat fördelarna med entropibaserad anomalidetektering, har det inte gjorts några större ansträngningar för att på ett heltäckande sätt förstå detektionskraften i att använda entropibaserad analys av flera trafikdistributioner i samverkan med varandra. Vi överväger två klasser av distributioner: flow-header-funktioner (IP-adresser, portar och flödesstorlekar), och beteendefunktioner (gradfördelningar som mäter antalet distinkta destination / källa IPs som varje värd kommunicerar med). Vi observerar att tidsserierna av entropivärden för adress- och portdistributioner är starkt korrelerade med varandra och ger mycket liknande anomali detektionskapacitet. De beteendemässiga och flöde storlek distributioner är mindre korrelerade och upptäcka incidenter som inte visar upp som anomalier i hamnen och adressdistributioner. Ytterligare analys med hjälp av syntetiskt genererade anomalier tyder också på att port- och adressdistributioner har begränsad nytta av att upptäcka scan och bandbredd översvämning anomalier. Utifrån vår analys diskuterar vi viktiga konsekvenser för entropibaserad anomalidetektering.
Port scanning).Vi anser två klasser av distribution i) flödeshuvud funktioner (IP-adress, portar, och flödesstorlekar) ii) beteendefunktioner (antalet olika destination / källa adress som en värd kommunicerar med) REF.
An empirical evaluation of entropy-based traffic anomaly detection
{'venue': "IMC '08", 'journal': None, 'mag_field_of_study': ['Computer Science']}