Ing. Jaroslav Pešek

Ing. Jaroslav Pešek

Ing. Jiří Buček, Ph.D.

Katedra informační bezpečnosti

Tato práce je věnována optimalizaci v současnosti používaného open-source programu pro monitorování sítě -- ipfixprobe vyvinutého primárně sdružením CESNET, přesněji řečeno jeho skryté paměti, neboť je jádrem monitoringu založenému na tocích. Bude analyzován zdrojový kód, abychom identifikovali přístupy vedoucí k snížení výkonu a navrhneme řešení pro identifikované problémy. Abychom prokázali účinnost našich návrhů, experimentálně je otestujeme, včetně srovnání aktuálně populárních nekryptografických hašovacích funkcí a správ skryté paměti přizpůsobených specifickým podmínkám skryté paměti síťových toků s dobrými výsledky, využití strojového učení k vytvoření nejvhodnější správy pro přesný typ provozu a implementaci detekčního algoritmu pro DDoS. Úspěšné návrhy se stanou součástí projektu a zvýší kvalitu uživatelských služeb.

Práce na DSpace

Ing. Jaroslav Pešek

Ing. Jiří Dostál, Ph.D.

Katedra informační bezpečnosti

Současné systémy detekce průniků produkují definitivní klasifikace pro každý síťový tok bez ohledu na kvalitu důkazů a neposkytují žádný mechanismus pro vyjádření nejistoty nebo spuštění manuálního přezkoumání u nejednoznačných případů. Tato vynucená určitost se ukazuje jako problematická při setkání s novými útoky, šifrovanou komunikací nebo adversariálně vytvořeným provozem blízko rozhodovacích hranic. Tato práce vyvíjí a vyhodnocuje první aplikaci Dempster-Shaferovy teorie na klasifikaci síťových toků na úrovni paketů ve velkém měřítku, kombinující klasifikaci metodou k nejbližších sousedů s evidenčním uvažováním za účelem poskytnutí interpretovatelné detekce hrozeb s explicitní kvantifikací nejistoty. Navržený přístup transformuje sekvence paketů na vložení fixní délky, konstruuje masové funkce založené na vzdálenosti a kombinuje důkazy pomocí Dempsterova pravidla za účelem vytvoření skóre víry podporujících rozhodnutí o automatické klasifikaci nebo manuálním přezkoumání. Systematické vyhodnocení na třech různorodých datasetech obsahujících celkem přes 2 miliony síťových toků, zahrnujících nešifrovaný útočný provoz, šifrovanou VPN komunikaci a anonymizovaný Tor provoz, ukazuje, že ansámblová metoda DS k-NN dosahuje makro F1-skóre 0.8257 s pouze 1.41% zamítnutých vzorků na datasetu CIC-IDS-2017, což představuje 57% snížení pracovní zátěže manuálního přezkoumání ve srovnání s konfigurací s jediným k. Přístup se ukazuje jako obzvláště efektivní u náročných typů provozu, dosahující zlepšení o 6.5 procentního bodu u šifrovaného VPN provozu a o 17.1 procentního bodu u anonymizovaného Tor provozu ve srovnání se základní metodou k-NN, kde tradiční hloubková inspekce paketů selhává. Tato práce představuje největší publikované vyhodnocení Dempster-Shaferovy teorie v literatuře rozpoznávání vzorů a demonstruje, že evidenční uvažování zůstává výpočetně proveditelné v operačním měřítku a zároveň poskytuje interpretovatelnost kritickou pro centra bezpečnostních operací.

Práce na DSpace