An overview of anomaly detection techniques

1. ‫کامپیوتر‬ ‫مهندسی‬ ‫دانشکده‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬:‫های‬‫حل‬‫راه‬‫فناوری‬ ‫روندهای‬ ‫آخرین‬ ‫و‬ ‫موجود‬
An overview of anomaly detection techniques: Existing solutions and latest technological trends
‫کاوی‬ ‫داده‬ ‫درس‬ ‫ارایه‬
‫نصرآبادی‬ ‫ذاکری‬ ‫مرتضی‬
‫استاد‬:
‫رحمانی‬ ‫حسین‬ ‫دکتر‬
‫آذر‬97

2. ‫آذر‬9725
‫ارائه‬‫در‬‫یک‬‫نگاه‬
.IV‫‌های‬‫ش‬‫رو‬‫جدید‬‫تشخیص‬‫نفوذ‬
•‫یادگیری‬‫ژرف‬
.V‫‌گیری‬‫ه‬‫نتیج‬
•‫مسائل‬‫باز‬‫و‬‫کارهای‬‫آتی‬
.I‫مقدمه‬
•‫تشخیص‬‫نفوذ‬
•‫تشخیص‬‫ناهنجاری‬
.II‫فنون‬‫تشخیص‬‫ناهنجاری‬
•‫فنون‬‫آماری‬
•‫فنون‬‫یادگیری‬‫ماشینی‬
•‫فنون‬‫داده‬‫کاوی‬
.III‫‌های‬‫م‬‫سیست‬‫ترکیبی‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬2

3. ‫آذر‬9725
‫تشخیص‬‫نفوذ‬
•‫سیستم‬‫تشخیص‬‫نفوذ‬(IDS)
•‫یک‬‫ابزار‬‫‌افزاری‬‫م‬‫نر‬
•‫شناسایی‬‫دسترسی‬‫غیرمجاز‬‫یا‬‫هرگونه‬‫رفتار‬‫مخرب‬(‫ناهنجاری‬)‫در‬‫سیستم‬/‫شبکه‬
•‫پایش‬‫پویای‬‫ترافیک‬‫شبکه‬‫و‬‫تحلیل‬‫آن‬
•‫هشدار‬‫به‬‫مدیر‬‫سیستم‬‫درصورت‬‫تشخیص‬‫نفوذ‬
•‫اهمیت‬‫تشخیص‬‫نفوذ‬(A. Patcha and J. M. Park, 2007)
•‫گسترش‬‫‌های‬‫ه‬‫شبک‬،‫کامپیوتری‬،‫اینترنت‬‫تجارت‬‫و‬‫بانکداری‬‫الکترونیک‬
•FBI:‫خسارت‬130‫میلیون‬‫دالری‬‫ناشی‬‫از‬‫حمالت‬‫سایبری‬‫در‬‫سال‬2005
•‫حمله‬‫سایبری‬‫و‬‫نفوذ‬‫به‬‫سیستم؛‬‫بزرگترین‬‫تهدید‬%66‫از‬‫‌های‬‫ت‬‫شرک‬‫بزرگ‬
•‫کشف‬‫ماهانه‬‫به‬‫طور‬‫میانگین‬‫بین‬20‫تا‬40‫‌پذیری‬‫ب‬‫آسی‬‫در‬‫محصوالت‬‫رایج‬‫شبکه‬
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬3
‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

4. ‫آذر‬9725
‫ساختار‬‫کلی‬‫یک‬‫سیستم‬‫تشخیص‬‫نفوذ‬(S. Axelsson, 1998)
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬4
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬
S. Axelsson

5. ‫آذر‬9725
‫فنون‬‫تشخیص‬‫نفوذ‬(A. Patcha and J. M. Park, 2007)
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬5
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬
‫فنون‌تشخیص‌نفوذ‬
‫مبتنی‌بر‌امضاء‬
‌‫مبتنی‌بر‌تشخیص‬
‫ناهنجاری‬
‌‫یک‌پایگاه‌داده‌از‌پیش‬
‫تعریف‌شده‬
‌‫تشخیص‌با‌اطمینان‬
‫‌های‬‫ه‬‫حمل‬‫شناخته‌شده‬
‫شروع‌تشخیص‌بالف‬‌‫اصله‬
‌‫پس‌از‌نصب‌و‬‫‌اندازی‬‫ه‬‫را‬
‫نیازمند‌بروزرسا‬‌‫نی‬
‫مکرر‬
‌‫عدم‌شناسایی‬
‫‌های‬‫ه‬‫حمل‬‫روز‌صفر‬
‫ایجاد‌یک‌پروفایل‌از‌رف‬‌‫تار‬
‌‫عادی‌سیستم‬/‫شبکه‬
‌‫تشخیص‬‫‌های‬‫ه‬‫حمل‬
‫داخلی‬
‌‫تشخیص‬‫‌های‬‫ه‬‫حمل‬
‫روز‌صفر‬
‫نیاز‌به‌تعریف‌و‬
‌‫آموزش‌پروفایل‬
‫عادی‬
‫نرخ‌آژیر‌خطر‌باال‬
‫ترکیبی‬
J.M. ParkA. Patcha

6. ‫آذر‬9725
‫بندی‬‫طبقه‬‫فنون‬‫تشخیص‬‫ناهنجاری‬(A. Patcha and J. M. Park, 2007)
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬6
‌‫فنون‬‌‫تشخیص‬‫ناهنجاری‬
‫فنون‌آماری‬‫فنون‌داده‌کاوی‬
‌‫تحلیل‌توالی‬
‫‌های‬‫ی‬‫فراخوان‬
‫سیستمی‬
‫فنون‌یادگیری‌ماشینی‬
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬
‌‫‌های‬‫ه‬‫شبک‬‫بیزی‬
‌‫تحلیل‬‫‌های‬‫ه‬‫مؤلف‬
‌‫اصلی‬(PCA)
‌‫‌های‬‫ل‬‫مد‬‫مارکوف‬
‫‌بندی‬‫ه‬‫رد‬
(Classification)
‫‌بندی‬‫ه‬‫خوش‬
(Clustering)
‌‫الگوهای‬‫پرتکرار‬
(Association Rules)
J.M. ParkA. Patcha

7. ‫آذر‬9725
‫رابطه‬‫میان‬‫تشخیص‬‫نفوذ‬‫و‬‫تشخیص‬‫ناهنجاری‬
•‫چهار‬‫حالت‬‫با‬‫احتمال‬‫غیر‬‫صفر‬‫در‬‫تشخیص‬‫نفوذ‬
•‫فعالیت‬‫نفوذی‬‫اما‬‫هنجار‬:‫منفی‬‫کاذب‬
•‫فعالیت‬‫غیر‬‫نفوذی‬‫اما‬‫ناهنجار‬:‫مثبت‬‫کاذب‬
•‫فعالیت‬‫غیر‬‫نفوذی‬‫و‬‫هنجار‬:‫منفی‬‫صحیح‬
•‫فعالیت‬‫نفوذی‬‫و‬‫ناهنجار‬:‫مثبت‬‫صحیح‬
•‫هدف‬:‫کاهش‬‫‌های‬‫خ‬‫نر‬‫منفی‬‫کاذب‬‫و‬‫مثبت‬‫کاذب‬
•‫این‬‫دو‬‫معیار‬‫در‬‫تضاد‬‫با‬‫یکدیگر‬‫هستند‬!
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬7
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬
‫فرض‌اصلی‬‌:‌‫فعالیت‌نفوذی‬‫‌ای‬‫ه‬‫زیرمجموع‬‫از‌فعالیت‌ناهنجار‌است‬.

8. ‫آذر‬9725
‫فنون‬‫آماری‬
•‫مشاهده‬‫فعالیت‬‫‌های‬‫ش‬‫بخ‬‫مختلف‬‫سیستم‬‫در‬‫‌های‬‫ن‬‫زما‬‫مختلف‬
•‫درصد‬‫استفاده‬‫از‬CPU،‫حافظه‬،‫اصلی‬‫کارت‬‫شبکه‬
•‫ایجاد‬‫پروفایل‬‫ذخیره‬‫شده‬‫و‬‫پروفایل‬‫جاری‬‫سیستم‬
•‫محاسبه‬‫امتیاز‬‫ناهنجاری‬‫با‬‫مقایسه‬‫دو‬‫پروفایل‬
•‫عدم‬‫نیاز‬‫به‬‫دانش‬‫پیشین‬‫در‬‫مورد‬‫‌ها‬‫ه‬‫حمل‬‫و‬‫‌های‬‫ص‬‫نق‬‫امنیتی‬
•‫دقت‬‫باال‬‫در‬‫تشخیص‬‌‫ه‬‫حمل‬‫ممانعت‬‫از‬‫سرویس‬‫توزیع‬‫شده‬(DDoS)
•‫امکان‬‫آموزش‬‫سیستم‬‫تشخیص‬‫ناهنجاری‬‫مبتنی‬‫بر‬‫فنون‬‫آماری‬‫به‬‫صورت‬‫غ‬‫لط‬‫توسط‬
‫مهاجم‬
•‫تعیین‬‫یک‬‫حد‬‫آستانه‬‫خوب‬‫برای‬‫ایجاد‬‫مصالحه‬‫بین‬‫‌های‬‫خ‬‫نر‬‫منفی‬‫کاذب‬‫و‬‫مث‬‫بت‬‫کاذب‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬8
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

9. ‫آذر‬9725
‫فنون‬‫آماری‬
•Haystack
•‫‌سازی‬‫ل‬‫مد‬‫پارامترهای‬‫سیستم‬‫با‬‫‌های‬‫ر‬‫متغی‬‫گاوسی‬‫مستقل‬
•‫استفاده‬‫از‬‫تحلیل‬‫افتراقی‬
•NIDES
•‫جمع‬‫آوری‬‫‌های‬‫ه‬‫داد‬‫مربوط‬‫به‬‫یک‬‫شبکه‬‫و‬‫تحلیل‬‫آماری‬‫آن‬
•‫استفاده‬‫از‬‫یک‬‫ماژول‬‫تحلیل‬‫مبتنی‬‫بر‬‫قاعده‬
•‫ترکیب‬‫نهایی‬‫دو‬‫روش‬‫فوق‬‫توسط‬‫ماژول‬Resolver
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬9
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

10. ‫آذر‬9725
‫فنون‬‫یادگیری‬‫ماشینی‬
•‫تحلیل‬‫توالی‬‫‌های‬‫ی‬‫فراخوان‬‫سیستم‬
•‫استخراج‬‫توالی‬‫‌های‬‫ی‬‫فراخوان‬‫سیستمی‬‫‌های‬‫ه‬‫برنام‬‫مختلف‬‫در‬‫حالت‬‫ع‬‫ادی‬
•‫مقایسه‬‫توالی‬‫‌های‬‫ی‬‫فراخوان‬‫سیستمی‬‫برنامه‬‫در‬‫زمان‬‫اجرا‬‫با‬‫پایگاه‬‫‌ای‬‫ه‬‫داد‬
‫از‬‫‌های‬‫ی‬‫توال‬‫موجود‬
•‌‫امکان‌استفاده‌از‌هر‌الگوریتم‌یادگیری‬‫بانظارت‬‫برای‌برچس‬‌‫ب‌زدن‬
‫به‌یک‌توالی‬
•‫سربار‬‫محاسباتی‬‫باال‬‫در‬‫پایش‬‫هر‬‫فراخوانی‬‫سیستمی‬
•‫نامنظم‬‫بودن‬‫ذاتی‬‫‌های‬‫ی‬‫فراخوان‬‫سیستمی‬
•‫افزایش‬‫نرخ‬‫مثبت‬‫کاذب‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬10
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

11. ‫آذر‬9725
‫فنون‬‫یادگیری‬‫ماشینی‬
•‫‌های‬‫ه‬‫شبک‬‫بیزی‬
•‫امکان‬‫‌سازی‬‫ل‬‫مد‬‫وابستگی‬
•‫امکان‬‫‌سازی‬‫ل‬‫مد‬‫رابطه‬‫ّی‬‫ل‬‫ع‬-‫معلولی‬(‫پدر‬–‫فرزند‬)
•‫استفاده‬‫از‬‫شبکه‬‫بیزی‬naive‫در‬‫چندین‬‫پژوهش‬
•‫قابلیت‬‫تشخیص‬‫‌های‬‫ه‬‫حمل‬‫توزیع‬‫شده‬‫که‬‫در‬‫آن‬‫هر‬‫نشست‬‫ح‬‫مله‬
،‫منفرد‬‫قادر‬‫به‬‫تولید‬‫آژیر‬‫حمله‬‫نیست‬.
•‫ساختار‬‫درختی‬‫و‬‫درنظر‬‫نگرفتن‬‫بسیار‬‫از‬‫‌ها‬‫ی‬‫وابستگ‬‫و‬‫رواب‬‫ط‬
•‫پیچیده‬‫بودن‬‫تعیین‬‫یک‬‫ساختار‬‫مناسب‬‫برای‬‫مدل‬‫کردن‬‫واب‬‫‌ها‬‫ی‬‫ستگ‬
‫و‬‫روابط‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬11
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

12. ‫آذر‬9725
‫فنون‬‫یادگیری‬‫ماشینی‬
•‫تحلیل‬‫‌های‬‫ه‬‫مؤلف‬‫اصلی‬(PCA)
•‫تعداد‬‫زیاد‬‫‌ها‬‫ی‬‫ویژگ‬‫در‬‫‌های‬‫ه‬‫‌داد‬‫ه‬‫مجموع‬‫مرتبط‬‫با‬‫تشخیص‬‫نفوذ‬
•‫استفاده‬‫از‬PCA‫به‬‫عنوان‬‫یک‬‫فن‬‫کاهش‬‫ابعاد‬‫و‬‫حذف‬‫‌ها‬‫ی‬‫همبستگ‬
•‫حذف‬‫‌های‬‫ی‬‫ویژگ‬‫پرت‬
•‫ایجاد‬‫یک‬‫‌بند‬‫ه‬‫رد‬‫‌صورت‬‫ه‬‫ب‬‫تابعی‬‫از‬‫‌های‬‫ه‬‫مؤلف‬‫اصلی‬
•‫افزایش‬‫دقت‬‫تشخیص‬‫ناهنجاری‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬12
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

13. ‫آذر‬9725
‫فنون‬‫یادگیری‬‫ماشینی‬
•‫‌های‬‫ل‬‫مد‬‫مارکوف‬
•‫ایجاد‬‫یک‬‫مدل‬‫مارکوف‬‫از‬‫‌های‬‫ت‬‫حال‬‫سیستم‬
•‫مثال‬:‫‌های‬‫ی‬‫فراخوان‬‫سیستمی‬
•‫محاسبه‬‫احتمال‬‫گذر‬‫بین‬‫‌های‬‫ت‬‫حال‬‫مختلف‬
•‫با‬‫توجه‬‫به‬‫‌های‬‫ه‬‫داد‬‫عادی‬(‫هنجار‬)
•‫محاسبه‬‫احتمال‬‫برای‬‫یک‬‫توالی‬‫از‬‫‌های‬‫ت‬‫حال‬‫جدید‬
•‫تشخیص‬‫ناهنجاری‬‫از‬‫طریق‬‫مقایسه‬‫با‬‫یک‬‫حد‬‫آستانه‬
•‫‌سازی‬‫ل‬‫مد‬‫ساده‬
•‫مشکل‬‫انفجار‬‫فضای‬‫حالت‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬13
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬
Andrey A. Markov (1856 – 1922)

14. ‫آذر‬9725
‫فنون‬‫داده‬‫کاوی‬
•‫‌بندی‬‫ه‬‫رد‬(Classification)
•‫تشخیص‬‫ناهنجاری‬‫‌عنوان‬‫ه‬‫ب‬‫یک‬‫مسئله‬‫‌بندی‬‫ه‬‫رد‬
•‫برچسب‬‫‌ها‬‫ه‬‫داد‬:‫هنجار‬‫و‬‫ناهنجار‬
•‫مقادیر‬‫‌ها‬‫ی‬‫ویژگ‬:‫سیستم‬‫در‬‫حالت‬‫عادی‬+‫سیستم‬‫در‬‫حالت‬‫نفوذ‬
•‫استفاده‬‫از‬‫درخت‬‫تصمیم‬‫و‬‫استخراج‬‫یک‬‫مجموعه‬‫قواعد‬
•‫قابلیت‬‫فهم‬‫و‬‫تفسیر‬‫آسان‬‫قواعد‬
•‫ناکارآمد‬‫در‬‫ارایه‬‫همه‬‫اطالعات‬
•Fuzzy Intrusion Recognition Engine (FIRE)
•‫استفاده‬‫از‬‫فنون‬‫منطق‬‫فازی‬
•‫ایجاد‬‫یک‬‫مجموعه‬‫فازی‬‫برای‬‫هر‬‫ویژگی‬‫و‬‫سپس‬‫استخراج‬‫قواعد‬‫فازی‬‫از‬‫این‬‫‌ها‬‫ه‬‫مجموع‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬14
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

15. ‫آذر‬9725
‫فنون‬‫داده‬‫کاوی‬
•‫‌بندی‬‫ه‬‫خوش‬‫و‬‫تشخیص‬‫‌های‬‫ه‬‫داد‬‫پرت‬(Outlier)
•‫عدم‬‫نیاز‬‫به‬‫‌گذاری‬‫ب‬‫برچس‬‫صریح‬‫‌ها‬‫ه‬‫داد‬(‫برخالف‬‫‌بندی‬‫ه‬‫رد‬)
•‌‫ه‬‫داد‬‫پرت‬:‫‌ای‬‫ه‬‫داد‬‫که‬‫در‬‫هیچ‬‫‌ای‬‫ه‬‫خوش‬‫قرار‬‫‌گیرد‬‫ی‬‫نم‬.
•‫‌ای‬‫ه‬‫نشان‬‫از‬‫نفوذ‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬15
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬
‌‫تشخیص‌ناهنجاری‌با‬
‫‌بندی‬‫ه‬‫خوش‬
‌‫‌های‬‫ه‬‫آموزش‌فقط‌روی‌داد‬
‫عادی‬
‌‫‌های‬‫ه‬‫آموزش‌روی‌داد‬
‫عادی‌و‌حمله‬

16. ‫آذر‬9725
‫فنون‬‫داده‬‫کاوی‬
•‫‌بندی‬‫ه‬‫خوش‬‫و‬‫تشخیص‬‫‌های‬‫ه‬‫داد‬‫پرت‬(Outlier)
•‫چالش‬‫اصلی‬:‫تعیین‬‫معیار‬‫شباهت‬
•‫استفاده‬‫از‬‫فاصله‬Mahalanobis
•‫تعیین‬‫فاصله‬‫هر‬‫نمونه‬‫از‬‫‌ها‬‫ه‬‫داد‬‫نسبت‬‫به‬‫مرکز‬‫‌ها‬‫ه‬‫داد‬‫با‬‫لحاظ‬‫میزان‬‫واریانس‬‫هر‬‫ویژگی‬
•‫اهمیت‬‫بیشتر‬‫به‬‫‌های‬‫ه‬‫مؤلف‬‫اصلی‬‫هنگام‬‫تعیین‬‫فاصله‬
•Minnesota Intrusion Detection System (MINDS)
•‫انتساب‬local outlier factor (LOF)‫به‬‫هر‬‫نمونه‬‫از‬‫‌ها‬‫ه‬‫داد‬
•LOF:‫تراکم‬‫‌ها‬‫ه‬‫داد‬‫در‬‫یک‬‫شعاع‬‫هسایگی‬‫تعیین‬‫شده‬‫برای‬‫نمونه‬‫داده‬‫شده‬
•‫افزایش‬‫دقت‬‫نسبت‬‫به‬‫‌های‬‫ش‬‫رو‬‫مبتنی‬‫بر‬‫فاصله‬‫قبلی‬
•‫دشواری‬‫تعیین‬‫شعاع‬‫همسایگی‬‫بهینه‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬16
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬
Prasanta C. Mahalanobis (1893 - 1972)

17. ‫آذر‬9725
‫فنون‬‫داده‬‫کاوی‬
•Association rule
•‫استخراج‬‫قواعد‬‫به‬‫فرم‬𝑋→𝑌(𝑋 ∈ 𝐷 ‫ٿ‬ 𝑌 ∈ 𝐷 ‫ٿ‬ 𝑋⋂𝑌 = ∅)
•Audit Data Analysis and Mining (ADAM)
•‫یک‬‫سیستم‬‫تشخیص‬‫ناهنجاری‬‫بالدرنگ‬‫برای‬‫شناسایی‬‫حمله‬‫در‬‫‌های‬‫ه‬‫بست‬TCP
•‫ایجاد‬‫یک‬‫مجموعه‬‫قواعد‬‫روی‬‫‌های‬‫ه‬‫داد‬‫حالت‬‫عادی‬
•‫استخراج‬‫قواعد‬‫از‬‫‌های‬‫ه‬‫داد‬‫آنالین‬‫و‬‫مقایسه‬‫با‬‫مجموعه‬‫قبلی‬
•‫‌بندی‬‫ه‬‫رد‬‫قواعد‬‫جدید‬‫توسط‬‫یک‬‫‌بند‬‫ه‬‫رد‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬17
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

18. ‫آذر‬9725
‫فنون‬‫ترکیبی‬
•‫استفاده‬‫همزمان‬‫از‬‫‌های‬‫ش‬‫رو‬‫تشخیص‬‫ناهنجاری‬‫و‬‫‌های‬‫ش‬‫رو‬‫مبتنی‬‫بر‬‫امضا‬
•‫تشخیص‬‫‌های‬‫ه‬‫حمل‬‫شناخته‬‫شده‬‫با‬‫استفاده‬‫از‬‫‌های‬‫ش‬‫رو‬‫مبتنی‬‫بر‬‫امضا‬
•‫تشخیص‬‫‌های‬‫ه‬‫حمل‬‫روز‬‫صفر‬‫با‬‫استفاده‬‫از‬‫‌های‬‫ش‬‫رو‬‫تشخیص‬‫ناهنجاری‬
•‫محافظت‬‫از‬‫پیمانه‬‫تشخیص‬‫ناهنجاری‬‫توسط‬‫روش‬‫مبتنی‬‫بر‬‫امضا‬
•‫کاهش‬‫نرخ‬‫مثبت‬‫کاذب‬
•‫ترکیب‬‫شدن‬‫معایب‬‫هر‬‫دو‬‫روش‬
•‫تعامل‬‫کارای‬‫دو‬‫پیمانه‬‫با‬‫یکدیگر‬
•NIDES
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬18
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

19. ‫آذر‬9725
‫یادگیری‬‫ژرف‬‫در‬‫تشخیص‬‫ناهنجاری‬
•DOPING(S. K. Lim, Y. Loo et al., 2018)
•‫استفاده‬‫از‬Generative Adversarial Network (GAN)‫برای‬‫کاهش‬‫نرخ‬‫مثبت‬‫کاذب‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬19
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

20. ‫آذر‬9725
‫یادگیری‬‫ژرف‬‫در‬‫تشخیص‬‫ناهنجاری‬
•‫تشخیص‬‫‌های‬‫ه‬‫حمل‬‫داخلی‬(A. Tuor, S. Kaplan et al.,2017)
•‫استفاده‬‫از‬Recurrent Neural Netwrok (RNN)‫برای‬‫تشخیص‬‫‌های‬‫ه‬‫حمل‬‫داخلی‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬20
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬
xt-1
ht-1
yt-1
U
V
xt
ht
yt
U
V
xt+1
ht+1
yt+1
U
V
W W W
t-1 t t+1
W
‫شبکه‌عصبی‌مکرر‬

21. ‫آذر‬9725
‫گیری‬‫نتیجه‬
.I‫دو‬‫دسته‬‫کلی‬‫‌های‬‫ش‬‫رو‬‫مبتنی‬‫بر‬‫نفوذ‬
•‫مبتنی‬‫بر‬‫امضا‬‫و‬‫مبتنی‬‫بر‬‫تشخیص‬‫ناهنجاری‬
.II‫بررسی‬‫‌های‬‫ش‬‫رو‬‫تشخیص‬‫ناهنجاری‬‫در‬‫شماهای‬‫مختلف‬
•،‫آماری‬‫یادگیری‬‫ماشینی‬‫و‬‫داده‬‫کاوی‬
•‫تشخیص‬‫نفوذ‬/‫حمله‬‫در‬‫یک‬،‫میزبان‬‫در‬‫یک‬‫شبکه‬
•‫توسط‬‫عامل‬‫خارجی‬‫و‬‫داخلی‬(‫‌های‬‫ه‬‫حمل‬‫داخلی‬)
.III‫نرخ‬‫باالی‬‫مثبت‬‫کاذب‬‫در‬‫‌های‬‫ش‬‫رو‬‫تشخیص‬‫ناهنجاری‬
.IV‫استفاده‬‫از‬‫فنون‬‫یادگیری‬‫ژرف‬‫به‬‫عنوان‬‫لبه‬‫پژوهش‬‫در‬‫تشخیص‬‫ناهنجاری‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬21
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

22. ‫آذر‬9725
‫مسائل‬‫باز‬‫و‬‫کارهای‬‫آتی‬
.I‫انتقال‬‫فنون‬‫تشخیص‬‫ناهنجاری‬‫به‬‫‌های‬‫ه‬‫حوز‬‫جدید‬
•‫اینترنت‬‫اشیاء‬(IoT)‫و‬‫‌های‬‫ه‬‫شبک‬‫حسگر‬‫‌سیم‬‫ی‬‫ب‬(Y. Meidan et al., 2018)
.II‫مقابله‬‫با‬‫نرخ‬‫باالی‬‫آژیرهای‬‫غلط‬(‫مثبت‬‫کاذب‬)
•‫تنها‬‫یک‬‫آژیر‬‫غلط‬‫در‬000,100‫رخداد‬‫قابل‬‫قبول‬‫است‬!
.III‫نیاز‬‫به‬‫معیارهای‬‫ارزیابی‬‫بهتر‬‫و‬‫‌تر‬‫ق‬‫دقی‬‫از‬‫جمله‬‫معیار‬‫محاسبه‬‫هزینه‬‫آژیرهای‬‫غل‬‫ط‬
.IV‫ایجاد‬‫مجموعه‬‫‌های‬‫ه‬‫داد‬‫بزرگ‬‫و‬‫واقعی‬‫برای‬‫ارزیابی‬‫انواع‬‫‌ها‬‫ش‬‫رو‬(Y. Meidan et al., 2018)
.V‫ایجاد‬‫راهکارهایی‬‫برای‬‫محافظت‬‫از‬‫پیمانه‬‫تشخیص‬‫نفوذ‬
.VI‫برطرف‬‫کردن‬‫موانع‬‫میان‬‫امنیت‬‫و‬‫تشخیص‬‫نفوذ‬‫مانند‬‫رمزنگاری‬‫اطالعات‬‫شبکه‬
.VII‫ایجاد‬‫‌های‬‫م‬‫سیست‬‫تشخیص‬‫نفوذ‬‫برای‬‫تشخیص‬‫‌های‬‫ه‬‫حمل‬‫داخلی‬(A. Tuor, S. Kaplan et al.,2017)
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬22
‫مقـدمه‬‫فنون‌تشخیص‌ناهنجاری‬‫‌های‌ترکیبی‬‫م‬‫سیست‬‫‌گیری‬‫ه‬‫نتیج‬ ‫‌های‌جدید‌تشخیص‌نف‬‫ش‬‫رو‬‫وذ‬

23. ‫آذر‬9725
‫مراجـع‬
oA. Patcha and J. M. Park, “An overview of anomaly detection techniques: Existing solutions and
latest technological trends,” Computer Networks, vol. 51, no. 12, pp. 3448–3470, 2007.
o S. Axelsson, Research in intrusion-detection systems: A survey, Department of Computer
Engineering, Chalmers University of Technology, Goteborg, Sweden, Technical Report 98-17,
December 1998.
o S. K. Lim, Y. Loo, N.-T. Tran, N.-M. Cheung, G. Roig, and Y. Elovici, “DOPING: generative data
augmentation for unsupervised anomaly detection with GAN,” CoRR, vol. abs/1808.07632, 2018.
o A. Tuor, S. Kaplan, B. Hutchinson, N. Nichols, and S. Robinson, “Deep learning for unsupervised
Insider threat detection in structured cybersecurity data streams,” CoRR, vol. abs/1710.00811,
2017.
o Y. Meidan and M. Bohadana and Y. Mathov and Y. Mirsky and A. Shabtai and D. Breitenbacher and
Y. Elovici, “N-BaIoT network-based detection of IoT botnet attacks using deep autoencoders,”
IEEE Pervasive Computing., vol. 17, no. 3, pp. 12–22, 2018.
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬-‫ذاکری‬ ‫مرتضی‬23

24. ‫ش‬ ‫توجه‬ ‫از‬ ‫سپاس‬ ‫با‬‫ما‬
Photo: Spring in IUST )2017( © Morteza Zakeri
‫ن‬ ‫پرسیدن‬ ‫سؤال‬ ‫از‬ ‫دست‬ ‫که‬ ‫است‬ ‫این‬ ‫مهم‬ ‫مسئله‬‫کشید؛‬
‫داشتن‬ ‫وجود‬ ‫برای‬ ‫است‬ ‫دلیلی‬ ‫کنجکاوی‬.
‫انیشتین‬ ‫آلـبرت‬
m o r t e z a _ z a ke r i @ c o m p . i u s t . a c . i r

25. ‫کامپیوتر‬ ‫مهندسی‬ ‫دانشکده‬
‫ناهنجاری‬ ‫تشخیص‬ ‫فنون‬ ‫بر‬ ‫مروری‬:‫های‬‫حل‬‫راه‬‫فناوری‬ ‫روندهای‬ ‫آخرین‬ ‫و‬ ‫موجود‬
An overview of anomaly detection techniques: Existing solutions and latest technological
trends
‫کاوی‬ ‫داده‬ ‫درس‬ ‫ارایه‬
‫نصرآبادی‬ ‫ذاکری‬ ‫مرتضی‬
‫استاد‬:
‫رحمانی‬ ‫حسین‬ ‫دکتر‬
‫آذر‬97