Mehrschichtiger Ansatz mit bedingten Zufallsfeldern zur Einbruchserkennung
Schritt 1:Datenvorverarbeitung
- Sammeln und Vorverarbeiten von Netzwerkverkehrsdaten.
- Extrahieren Sie relevante Funktionen aus den Netzwerkverkehrsdaten, wie z. B. Quell- und Ziel-IP-Adressen, Portnummern, Paketgrößen und Zeitstempel.
Schritt 2:Feature Engineering
- Verwenden Sie statistische und maschinelle Lerntechniken, um Merkmale zu extrahieren, die für die Einbruchserkennung relevant sind.
- Zu den allgemeinen Merkmalen gehören:
- Flow-basierte Funktionen: Diese Merkmale beschreiben die Eigenschaften einzelner Netzwerkflüsse, wie z. B. die Anzahl der Pakete, die Dauer des Flusses und die durchschnittliche Paketgröße.
- Hostbasierte Funktionen: Diese Funktionen beschreiben die Eigenschaften einzelner Hosts, z. B. die Anzahl der vom Host hergestellten Verbindungen, die Anzahl der eindeutigen IP-Adressen, mit denen der Host verbunden ist, und die durchschnittliche Verbindungsdauer.
- Netzwerkbasierte Funktionen: Diese Merkmale beschreiben die Eigenschaften des Netzwerks als Ganzes, wie z. B. die Gesamtzahl der Pakete, die Gesamtzahl der Verbindungen und die durchschnittliche Bandbreitennutzung.
Schritt 3:Bedingte Zufallsfelder (CRFs)
- Trainieren Sie ein CRF-Modell mithilfe der gekennzeichneten Daten.
– Verwenden Sie eine CRF-Schicht für jeden Funktionstyp (z. B. flussbasiert, hostbasiert, netzwerkbasiert).
– Die CRF-Ebenen interagieren miteinander, um die wahrscheinlichste Beschriftungssequenz für den gesamten Datensatz abzuleiten.
Schritt 4:Einbruchserkennung
- Verwenden Sie das trainierte CRF-Modell, um neue Netzwerkverkehrsdaten entweder als normal oder bösartig zu klassifizieren.
– Legen Sie einen Schwellenwert für die CRF-Ausgabe fest, um zu bestimmen, wann ein Einbruch erkannt wird.
Schritt 5:Bewertung und Verfeinerung
- Bewerten Sie die Leistung des Einbruchmeldesystems anhand eines Testdatensatzes.
- Verwenden Sie die Bewertungsergebnisse, um die Funktionen, das CRF-Modell und den Schwellenwert zu verfeinern.
- Wiederholen Sie die Schritte 3–5, bis das gewünschte Leistungsniveau erreicht ist.
Schritt 6:Bereitstellung
- Stellen Sie das Intrusion Detection System in einer Produktionsumgebung bereit, um das Netzwerk vor Echtzeitbedrohungen zu schützen.
