IPフローにおけるルールベースの異常検出

ルールベースのパケット分類は、トラフィック異常を特定するための強力な方法であり、ネットワークセキュリティが重要な適用領域です。Snortのような人気のあるシステムは多くのネットワーク場所で使用されていますが、Tier-1サービスプロバイダーのネットワーク全体にわたる包括的な展開は、多くのネットワーク入り口で高速モニターが必要なため、高コストです。ISPはすでにフロースタティスティクスを広く収集しているので、集約とペイロード情報の欠如にもかかわらず、パケットベースのルールと同じ異常を検出するためにそれを使用できるでしょうか？私たちは、パケットとフロー情報の間の相関関係を機械学習（ML）アプローチを通じて活用し、同じトラフィック上のフローレコードから導出された特徴ベクトルとパケットレベルのアラームを関連付けます。ネットワーク全体のフローアラーミングのためのシステムアーキテクチャを説明し、概念実証を確立するために必要なステップを説明します。実際のパケットトレースにおける候補のMLアルゴリズムの予測精度を評価します。予測の効果の持続時間は、MLアプローチにとっての課題であり、リソース集約的なネットワークアプリケーションでは特に問題です。初期結果は、1週間または2週間の期間でパフォーマンスにほとんど影響がないことを示しています。