Alla maskiner som utsätts för Internet idag riskerar att bli attackerade och komprometterade. Att upptäcka attackförsök, vare sig de lyckas eller inte, är viktigt för att säkra nätverk (servrar, slutvärdar och andra tillgångar) samt för kriminalteknisk analys. I detta sammanhang fokuserar vi på problemet med insamling av bevis genom att upptäcka grundläggande mönster i nätverkstrafiken i samband med misstänkta aktiviteter. Att upptäcka grundläggande avvikande mönster är nödvändigt för en lösning för att kunna upptäcka så många typer av attacker och skadliga aktiviteter som möjligt. Våra bevis som samlar ramverk korrelerar flera mönster upptäckta, vilket ökar förtroendet för detektion, och resulterar i ökad noggrannhet och minskning av falska positiva. Vi visar effektiviteten i vårt ramverk genom att utvärdera på en datauppsättning som består av normal trafik samt trafik från ett antal malware.  Slutvärdar och nätverk blir benägna att attackera och kompromissa när de blir uppkopplade till Internet. Typerna och förfiningen av attacker har bara ökat med tiden, en av motiven är de monetära vinster som cyberbrottslingar får från sådana skadliga och cyberbrottsliga aktiviteter. För att kvantifiera, i sin årliga säkerhetsrapport 2016 Ciscos uppskattning av den genomsnittliga årsinkomsten för ransomware per kampanj är $34 miljoner (Cisco Annual Security Report, 2016). Det är absolut nödvändigt att upptäcka anomalier i samband med attacker för att säkra ett nätverk och för kriminalteknisk analys. Detektion i tid kan förhindra skador på grund av attacken; rättsmedicinsk analys av anomalier stöd inte bara i utredningar utan också i profilering av attacker. Det finns en uppsjö av forskningsprojekt för att upptäcka anomalier och attacker i nätverk (Carl et al. (2006 ), Feily m.fl. (2009), Chandola m.fl. (2009), Vincent Zhou m.fl. (2010 och Bhuyan m.fl. (2014) är några relevanta undersökningar). Ofta utvecklas olika lösningar för olika attacker, vilket leder till komplex hantering och högre kostnader för användarna. Dessutom upptäcks individuella anomalier vanligtvis självständigt; och utan att ha en mekanism för att kontrollera om några av de upptäckta anomalier korreleras, lösningar kan lätt missa skogen för träden. Vad som är värre är att de upptäckta anomalierna kan utsättas för en låg risk och därför ignoreras av en analytiker. Olika från tidigare verk, vårt mål är att utveckla ett ramverk som kan samla så många bevis som möjligt för olika typer av attacker och skadliga aktiviteter. I detta arbete fokuserar vi på problemet med bevisinsamling genom att analysera nätverkstrafik. Bevisen är de grundläggande mönstren i samband med misstänkta aktiviteter. Upptäcka sådana mönster gör det möjligt att upptäcka anomalier som är gemensamma för ett antal attacker. Vi tar ett pragmatiskt tillvägagångssätt för att upptäcka avvikande mönster; vi tillämpar regressionsmodeller för att analysera nätverkstrafikdata och upptäcka mönster relaterade till misstänkta aktiviteter. De avvikande mönster, som bildar bevis, korreleras och analyseras, för att öka prestandan av detektion av trafik relaterad till attacker och skadliga aktiviteter, där prestanda uttrycks i termer av detektion noggrannhet och falsk positiv hastighet. Fördelarna med vårt föreslagna system är: 1. Ingen inlärning av normalt beteende med hjälp av godartade data: Med tanke på att Internettrafiken alltid utvecklas och förändras, en lösning som modellerar statiska data kommer inte att vara adaptiv. Dessutom är det mycket svårt att få fram en aktuell trafikdatauppsättning i verkligheten av meningsfull storlek som endast består av godartade flöden och som fångar de dynamiska egenskaperna hos godartad trafik. Vårt tillvägagångssätt, å andra sidan, använder information om endast attacktrafik. Karakteristika för attacktrafik är mycket specifika för den typ av attack, och skiljer sig också avsevärt från den normala trafiken. 2. Utgångspunkten är följande: Detektion av flera avvikande mönster: Genom att upptäcka onormala mönster i nätverkstrafiken, vår lösning samlar i huvudsak bevis relaterade till attacken. För en enda attack, det kan finnas flera mönster som upptäcks, vissa på grund av olika
Divakaran m.fl. I REF studerades de frågor som rör kriminalteknik och nätsäkerhet.
Evidence gathering for network security and forensics
{'venue': None, 'journal': 'Digital Investigation', 'mag_field_of_study': ['Computer Science']}