Detecção de intrusão usando técnicas de aprendizagem de máquinas

Abstract

Sistemas de detecção de intrusão (IDSs) têm sido projetados para analisar dados coletados em redes ou em máquinas. Um IDS pode aplicar uma abordagem de análise baseada em assinaturas, similar a um software anti-vírus. Contudo, um IDS baseado em assinaturas não detecta ataques desconhecidos, porque o seu banco de assinaturas está desatualizado ou porque nenhuma assinatura está disponível ainda. Para superar essa limitação, os pesquisadores têm desenvolvido IDSs baseados em anomalias. A abordagem baseada em anomalias é capaz de detectar ataques desconhecidos, modificações de ataques conhecidos, novos ataques e ataques direcionados. Este trabalho apresenta os principais esforços presentes na literatura sobre IDSs fazendo uma comparação entre os sistemas atualmente disponíveis. Depois apresenta uma nova arquitetura de IDS baseado em anomalias que utiliza técnicas de inteligência artificial para construir um classificador neural em uma primeira camada e uma segunda camada de verificação, que visa altas taxas de detecção e baixas taxas de falsos alertas gerados pelo sistema construído. Por fim, apresenta um protótipo do sistema, o Polvo-IIDS e analisa os resultados de testes efetuados, com algumas conclusões e perspectivas futuras.

In this master dissertation, we show that Intrusion Detection Systems (IDSs) have been designed to analyze data collected from networks or hosts. An IDS may apply an analysis approach based on signatures, in this case is very similar to a software anti-virus. However, a signature-based IDS cannot detect unknown attacks, because its bank signature is outdated or because there is no signature available yet. In order to overcome this limitation, researchers have developed anomaly-based IDSs. The anomaly-based approach can detect unknown attacks, modifications of known attacks, attacks as soon as they occur and targeted attacks. This work presents the main efforts by Intrusion Detection Systems in the literature, doing a comparison between the systems currently available. Then we present a new anomaly-based IDS architecture that uses artificial intelligence techniques to build a first layer with a neural classifier and a second layer of verification, which aims high detection rates and low rates of false alert generated by the system built. Finally, we present a prototype system Polvo-IIDS, the results of tests performed, some conclusions and future perspectives on the proposed model.