ارائه يك ره يافت جديد مبتني بر روش تركيبي به منظور آشكارسازي نفوذ در شبكه

A New Approach to Network Intrusion Detection Based on Hybrid Methods

نقش يك سامانه تشخيص نفوذ براي آشكارسازي ناهنجاري ها در شبكه از اهميت زيادي برخوردار است. حملات جديد و ناشناخته موجب ناكارآمدي راه كارهاي شناسايي مبتني بر امضاء و در نتيجه استفاده از راه كارهاي شناسايي مبتني بر ناهنجاري شده است. اين راه كارها نيز علي رغم توانايي بالا در تشخيص ناهنجاري ها، از نرخ مثبت كاذب بالايي رنج مي برند. براي غلبه بر اين مشكل، ايده استفاده از آشكارسازهاي تركيبي مطرح شده است. در اين مقاله، راه كاري نوين مبتني بر روش آشكارسازي تركيبي با يك معماري چهارلايه اي پيشنهاد شده است. لايه اول از واحد تحليل گر جريان داده ها و واحد طبقه بندي تشكيل شده است كه براي طبقه بندي نوع سرويس هاي شبكه از تركيب روش آماري n-گرام و الگوريتم ژنتيك استفاده مي كند. در لايه تشخيص نفوذ، يك واحد آشكارساز مبتني بر امضاء و واحد هاي آشكارساز مبتني بر ناهنجاري به شكل تركيبي پياده سازي شده اند كه متناسب با برچسب نوع سرويس ها فراخواني مي شوند. سپس، درنتيجه پردازش اين واحدها، لايه تصميم گيري فراخواني مي شود. اين لايه ماهيت حمله و نوع پاسخ را تشخيص داده و لايه مديريت وقايع را فرا مي خواند. در اين لايه ضمن اطلاع رساني هشدارها به مدير شبكه، در صورت نياز، اعمال واكنشي و اقدامات امنيتي لازم نيز انجام خواهد شد. نتايج حاصل از ارزيابي اعتبارسنجي چندلايه اي، بهبود دقت تشخيص نفوذ را 99/81% نشان مي دهد كه در نتيجه كاهش ميزان نرخ مثبت كاذب را در پي خواهد داشت.

The role of intrusion detection systems has been considered significant in network anomaly detection. New and unknown attacks have proved that signature-based detection methods are inefficient, and raised the attention to anomaly-based detection methods. Despite their great ability in anomaly detection, these methods suffer from high rate of false-alarms. Therefore, the idea of using hybrid intrusion detection systems is developed in order to reduce the false-alarm rate. In this paper, we propose a four-layered model based on hybrid methods. The first layer consists of data flow analysis and service type classification modules. The service type classifier uses both an n-gram-based statistical technique, and an evolutionary algorithm. In the intrusion detection layer, a signature-based and several anomaly-based detection modules have been implemented with hybrid methods. These specific detection modules are called according to the type of service which has been identified through the first layer. The decision-making layer is then called based on the results of intrusion detection process. This layer identifies the attack nature and the type of response, and then calls the event management layer. In this layer, network administrator is notified appropriately; and, responsive actions are managed if needed. Applying the cross-validation method shows that intrusion detection has been improved and, in result, the false alarm rate has been reduced. Keywords: