Abstrakt. I detta papper presenterar vi Anagram, en innehåll anomali detektor som modellerar en blandning av högorder n-gram (n > 1) utformad för att upptäcka anomalier och "misstänksamma" nätverkspaket nyttolaster. Genom att använda högre ordning n-gram, Anagram kan upptäcka betydande avvikande byte sekvenser och generera robusta signaturer av validerade skadliga paketinnehåll. Anagrams innehållsmodeller implementeras med hjälp av mycket effektiva Bloom-filter, vilket minskar utrymmeskraven och möjliggör integritetsbevarande korrelation mellan olika platser. Sensorn modellerar det distinkta innehållsflödet i ett nätverk eller värd med hjälp av en halvövervakad träningsregim. Tidigare kända bedrifter, extraherade från signaturer av en IDS, är också modellerade i ett Bloom filter och används under utbildning samt detektionstid. Vi visar att Anagram kan identifiera onormal trafik med hög noggrannhet och låga falska positiva hastigheter. Anagrams högteknologiska n-gramanalysteknik är också motståndskraftig mot enkla imiteringsattacker som blandar bedrifter med "normal" utseende byte stoppning, såsom den blandade polymorfa attacken nyligen demonstreras i [1]. Vi diskuterar randomiserade n-gram modeller, som ytterligare höjer ribban och gör det svårare för angripare att bygga exakta paketstrukturer för att undvika Anagram även om de vet distributionen av den lokala webbplatsens innehållsflöde. Slutligen gör Anagram hastighet och hög detektionshastighet det värdefullt inte bara som en fristående sensor, men också som ett nätverk anomali flöde klassificering i en instrumenterad feltolerant värd-baserad miljö; Detta möjliggör betydande kostnadsamortering och möjligheten till en "symbiotisk" återkoppling slinga som kan förbättra noggrannheten och minska falska positiva hastigheter över tid.
Randomiserade n-gram modeller gör det svårt för angripare att bygga exakta paketstrukturer för att undvika Anagram även om de vet fördelningen av den lokala webbplatsens innehållsflöde REF.
Anagram: A Content Anomaly Detector Resistant to Mimicry Attack
{'venue': 'RAID', 'journal': None, 'mag_field_of_study': ['Computer Science']}