1. Penelitian ini menggunakan algoritma k-means untuk mendeteksi serangan remote to local pada dataset DARPA 99 dengan mengekstrak atribut header paket. 2. Hasil clustering k-means kemudian divalidasi menggunakan confusion matrix yang menunjukkan tingkat deteksi mencapai 100% dengan sedikit false positive dan false negative. 3. Metode visualisasi parallel coordinate dan RadViz digunakan untuk memvisualisasikan pola serangan, yang mampu membedakan jenis serangan tertentu

1. Visualisasi Serangan Remote to Local (R2L) Dengan
Clustering K-means
Presented by : Eko Arip Winanto 09121001040
Supervisor : Deris Stiawan. Ph.D
2017

2. Choi, Lee,
Kim, 2009
Intrusion Detection System dengan teknik
deteksi attack signatures tidak bisa mendeteksi
tipe serangan baru yang tidak ada pada database
serangan. Intrusion Detection System yang
menggunakan mekanisme attack anomaly dapat
mendeteksi beberapa variasi serangan baru,
tetapi sering menghasilkan false alarms yang
cukup besar.
Untuk mengatasi kelemahan tersebut salah satu
pendekatan yang dapat digunakan adalah dengan
memvisualisalaikan serangan dengan cara yang
sederhana
atau grafik.
Yanping,
Yang 2012
Sistem visualisasi serangan dapat
membantu user untuk mendeteksi pola
serangan dengan lebih cepat, dan
apabila dikombinasikan dengan
teknologi seperti data mining atau
machine learning, sistem
visualisasi akan lebih efektif
dalam mendeteksi pola serangan
Spathoulas,
Katsikas,
2013
Menggunkan metode
clustering untuk
mendeteksi serangan pada
dataset.
Latar Belakang
Jeya,
Ravichandr
an,2012
Remote to Local adalah serangan
dimana attacker tidak memiliki akses
ke dalam sebuah sistem tetapi mencoba
untuk akses.

3. Tujuan
Melakukan ekstraksi pada paket header pada dataset DARPA
99.
Menerapkan algoritma k-means untuk mendeteksi paket
serangan remote to local atau normal.
Membuat algoritma untuk visualisasi serangan Remote to
Local (R2L) dalam bentuk grafik.
1
2
3
Melakukan perhitungan terkait akurasi deteksi serangan
Remote to Local dengan algoritma k-means.
4

4. Metodologi
Feature
Extraction
Clustering
Visualisasi
• Membaca
Dataset
• Mengekstrak
header
• Simpan ke
database
• Hitung akurasi
deteksi
• Membaca Data
hasil
clustering
• Plot dalam
grafik
• Mencari Pola
• Normalisasi
Data
• Clusterig Data
• Simpan ke
Databases
Metodologi

5. Feature Extraction
Hasil
2
nomor paket, timestamp, service, source address,
destination address, port source, port destination,
sequence, acknowledgment, window, flags, ttl, ip length,
ip ceksum, ip id, ip offset, tcp length, dan protocol
Feature
1

6. Mencari Pola
Title
Memasukkan dataset DARPA 99 untuk dibaca oleh snort sehingga
didapat alert yang berisi informasi paket serangan.01
Hasil alert snort kemudian dibandingkan dengan dataset apakah paket
tersebut ada dalam dataset (.tcpdump).02
Untuk mencari atribut-atribut unik maka dapat dicari dari hasil
feature extraction, untuk memastikan bahwa paket tersebut
adalah benar serangan maka dapat divalidasi dengan melihat apakah ada
paket yang sama pada baris berikutnya.
03

7. Pola Serangan Remote to Local

8. Clustering K-means
Hasil Clustering
1

9. Hasil Clustering K-means

10. Confusion Matrix
No Binary
Classification
Hari Ke - | Hasil Clustering
1 2 3 4 5
1 TP 207 357 392 1374 151
2 FP 0 0 2 1 2
3 TN 1580545 123139 1237432 1557874 1241638
4 FN 0 0 0 0 0
Detection Rate Confusion Matrix
No Binary
Classification
Hari Ke - | Hasil Clustering
1 2 3 4 5
1 TPR 1 1 1 1 1
2 FPR 0 0 1.616248x10-6 6.419x10-7 1.616248x10-6
3 TNR 1 1 0.9999983838 0.9999993581 0.9999983892
4 FNR 0 0 0 0 0
5 Akurasi 1 1 0.9999983843 0.99999935861 0.9999983894

11. Perbandingan Confusion Matrix

12. Hasil Visualisasi
Parallel Coordinate

13. Hasil Visualisasi
RadViz

14. Perbandingan Hasil Visual
parallel coordinate dan
Hasil Visual RadViz

15. Ftp_write

16. Imap

17. Snmpget

18. Named

19. NetBus

20. RadViz

21. Kesimpulan
Hasil clustering k-means sangat dipengaruhi dengan penentuan centroid awal, apabila
centroid awal berubah maka hasil clustering juga berubah.
3
Algoritma Clustering K-means dapat diterapkan pada IDS untuk mendeteksi serangan remote
to local.
1 Atribut-atribut unik pada paket header dapat digunakan sebagi pola serangan untuk
mengenali paket serangan remote to local berupa port destination, flags, ip length dan
packet length.2
Evaluasi deteksi dengan confusion matrix menunjukkan detection rate TPR pada
pengujian clustering mencapai 100% dengan false positive berkisar pada
0.0001616% untuk kesalahan deteksi. Pada TNR berkisar antara 99.999% dengan
false negatif mencapai 100%.
44
5
Parallel coordinate dapat memvisualisasikan serangan remote to local,
untuk menutupi kekurangan parallel coordinate dalam membedakan
paket serangan dan normal yang mirip maka dikombinasikan dengan
metode RadViz.

22. Saran
Penelitian selanjutnya, dapat menerapkan teknik
visualisasi secara real-time.
1 Menerapkan algoritma Clustering yang lain seperti SVM,
K-mean ++ dan lain lain untuk melihat perbandingan mana
yang lebih baik.
2

23. Sekian Terima Kasih