Flow Based netwrok anomaly detection system

./prototype → Main / function / prototype

./Web → Network Anomaly Detection System Web (processing..)

./RESTful → Example of Restful API (processing..)

• Train Dataset

Local에서 모은 웹서핑, 게임 등 기타 작업 시의 네트워크 패킷(.pcap)에 대한 64,368개의 정상 세션 데이터(.csv)

• Test Dataset

비정상 세션 데이터

• Random Forest Classifier를 이용한 Feature들의 중요도 계산 결과

• CICFlowMeter로 나온 84개의 Feature 중 아래 78개의 Features 사용

• 자료의 오버플로우 또는 언더플로우를 방지 하기 위해 Standard Scaler를 수행하여 전체 데이터의 분포를 평균 0, 분산 1이 되도록 데이터 전처리

• Anomaly Detection을 위한 LOF 수행 과정

• 학습데이터(정상)에 대해 Local Outlier Factor 수행 결과(.csv)

• 학습데이터(정상)에 대해 테스트데이터(비정상) 추가 후 Local Outlier Factor 수행 결과(.csv)

본 기술에서는 네트워크가 정상일 때, Flow기반으로 IP별 네트워크 세션을 수집하여 학습 데이터셋을 만들었다.

이를 바탕으로 모델을 학습시킨 후, 테스트 데이터인 비정상 네트워크 세션에 대한 이상 행위 탐지를 수행하였다.

학습을 실시하고 성능을 분석해 본 결과 평균 86% 의 정확도로 네트워크 이상행위 탐지가 가능했다.

• 네트워크상의 데이터 흐름에 대한 탁월한 가시성 제공으로 효율적인 모니터링 가능

• 모니터링과 더불어 실시간 패킷 분석을 통해 신속한 대응 가능

• 네트워크 IP별 패킷에 대한 데이터를 학습하고 이상 징후 탐지 가능

→ 통합보안관제 적용시, 실시간 침해 처리, 범위 확대 및 인력과 시간 단축을 할 수 있으며, 알려지지 않은 위협에 대해서도 탐지 및 대응 가능

• 간단하고 빠른 결과 분석 및 즉각적인 피드백

• 보다 빠른 연산을 위해 GPU 연산 수행

• 데이터의 수가 막대할 경우, Feature 선택시 IP 주소 추가

• 머신러닝을 이용한 개인용pc 악성코드 감염 예측
• 네트워크에서 SVM을 기반으로하는 DDoS 공격 탐지 방법
• MAML 알고리즘을 활용한 Ddos 공격 탐지 시스템
• Machine Learning 알고리즘을 적용한 인터넷 애플리케이션
• Intrusion Detection System
• Likelihood of a Personal Computer to Be Infected with Malware
• Anomaly based unknown Intrusion Detection in Endpoint environments
• Network traffic features for anomaly detection in specific industrial control system network