|
Approche en couches utilisant des champs aléatoires conditionnels pour la détection des intrusions
Étape 1 :Prétraitement des données
- Recueillir et prétraiter les données de trafic réseau.
- Extrayez les fonctionnalités pertinentes des données de trafic réseau, telles que les adresses IP source et de destination, les numéros de port, la taille des paquets et les horodatages.
Étape 2 :Ingénierie des fonctionnalités
- Utiliser des techniques statistiques et d'apprentissage automatique pour extraire les fonctionnalités pertinentes pour la détection des intrusions.
- Les fonctionnalités communes incluent :
- Fonctionnalités basées sur le flux : Ces fonctionnalités décrivent les caractéristiques des flux réseau individuels, telles que le nombre de paquets, la durée du flux et la taille moyenne des paquets.
- Fonctionnalités basées sur l'hôte : Ces fonctionnalités décrivent les caractéristiques des hôtes individuels, telles que le nombre de connexions établies par l'hôte, le nombre d'adresses IP uniques auxquelles l'hôte est connecté et la durée moyenne des connexions.
- Fonctionnalités basées sur le réseau : Ces fonctionnalités décrivent les caractéristiques du réseau dans son ensemble, telles que le nombre total de paquets, le nombre total de connexions et l'utilisation moyenne de la bande passante.
Étape 3 : Champs aléatoires conditionnels (CRF)
- Former un modèle CRF en utilisant les données étiquetées.
- Utilisez une couche CRF pour chaque type de fonctionnalité (par exemple, basée sur le flux, basée sur l'hôte, basée sur le réseau).
- Les couches CRF interagiront les unes avec les autres pour déduire la séquence d'étiquettes la plus probable pour l'ensemble de l'ensemble de données.
Étape 4 :Détection d'intrusion
- Utilisez le modèle CRF formé pour classer les nouvelles données de trafic réseau comme normales ou malveillantes.
- Définir un seuil pour la sortie CRF afin de déterminer quand une intrusion est détectée.
Étape 5 :Évaluation et affinement
- Évaluer les performances du système de détection d'intrusion sur un jeu de données de test.
- Utiliser les résultats de l'évaluation pour affiner les fonctionnalités, le modèle CRF et le seuil.
- Répétez les étapes 3 à 5 jusqu'à ce que le niveau de performance souhaité soit atteint.
Étape 6 :Déploiement
- Déployer le système de détection d'intrusion dans un environnement de production pour protéger le réseau des menaces en temps réel.
|
