Non-Signature-Based Methods for Anomaly Detection

Abstract

Non-Signature-Based Methods for Anomaly Detection This paper overviews various approaches to the problem of detecting anomalous behavior within the framework of intrusion detection systems using non-signature-based methods. Each described algorithm has different underlying approach but they all show effective results in the problems of assessing the availability of the wrongfulness of the actions of an authorized user inside an information system. The techniques discussed in the paper use Markov Chains, Hierarchical Hidden Markov Models, algorithms for filtering noise in the signal in the intrusion detection problem, as well as methods based on ontology and agents. Finally, the experimental system developed at Caldas University, Colombia is considered that uses a lot of different approaches aimed to increase anomaly detection efficiency. Uz šabloniem nebalstītas metodes anomālas uzvedības atklāšanai Rakstā apskatītas pamata metodes, kas tiek izmantotas, lai noteiktu vai informācijas sistēmā nav bijusi ielaušanās. Šabloniem alternatīvu metožu aktualitāte saistīta ar ievērojamu sarežgītības palielinājumu mūsdienu informācijas jomā, kas neļauj izmantot aprakstošās pieejas efektīvā ielaušanās un anomālas uzvedības gadījumu atklāšanā. Izmantojot jaunās intelektuālās metodikas, kas izmanto pašapmācības elementus un mākslīgo intelektu, kļūst iespējams reālā laikā atklāt un reagēt uz jaunajiem ielaušanās veidiem. Izskatīta pieeja, kas traktē normālu lietotāja uzvedību kā troksni, bet anomālu kā signālu. Tādā gadījumā ir iespējams izmantot labi izpētītos signāla apstrādes un filtrēšanas algoritmus, kas var tikt piemēroti, lai noteiktu ielaušanos informācijas sistēmā. Izskatīta arī vēl cita pieeja, kas izmanto slēptos hierarhiskos Markova modeļus, lai izveidotu normāla lietotāja uzvedības modeli. Šādu modeli iespējams izmantot tālākos pētījumos, lai noteiktu anomālijas katrā nākamajā lietotāja darbībā sistēmā. Tāpat apskatīta ielaušanās pazīmju ontologijas veidošanas pieredze, kas ļauj automatizēt zināšanu apmaiņu starp dažādam intelektuālām drošības sistēmām nākotnē. Bez tam vēl izskatīta iespējamība lietot agentu pieeju, lai atklātu ielaušanās mēginājumus, dots kopējais agentu mijiedarbības modelis. Noslēgumā dots eksperimentālas sistēmas izveides piemērs, kas apvieno dažādos monitoringa līmeņos dažādas pieejas: agentus, ontologijas, mākslīgos neironu tīklus un klasifikācijas metodes. Методы обнаружения аномального поведения, не основанные на шаблонах В статье анализируются основные методы, используемые в задачах обнаружения вторжений в информационные системы. Актуальность методов обнаружения аномального поведения, не основанных на шаблонах, обусловлена значительным усложнением современной информационной среды, которое не позволяет и дальше эффективно использовать описательный подход к обнаружению вторжений и аномального поведения. С использованиемновых интеллектуальных методик с элементами самообучения и искусственного интеллекта появляется возможность в режиме реального времени отслеживать и реагировать на новые типы атак. Pассмотрен подход, трактующий нормальное поведение пользователя как шум, а аномальное - как сигнал. В этом случае появляется возможность использовать хорошо исследованные алгоритмы обработки и фильтрации сигнала применительно к предметной области обнаружения вторжений. Исследован подход, использующий скрытые иерархические модели Маркова для представления шаблона нормального поведения пользователя. Имея такую модель, возможно в дальнейшем использовать ё для анализа наличия аномальности для каждого последующего действия пользователя в системе. Также описан опыт построения онтологии признаков вторжений, которая позволит автоматизировать обмен знаниями между различными интеллектуальными системами безопасности в будущем.Кроме этого исследована возможность использования агентного подхода для обнаружения вторжений, предложена общая модель взаимодействия агентов.В заключение приведён пример создания экспериментальной системы, совмещающей на различном уровне мониторинга разные подходы: агентный, онтологии, искусственные нейронные сети и методы классификации.