سیستم تشخیص ناهنجاری شبکه با استفاده از الگوریتم ژنتیکی و منطق فازی

چکیده

کلمات کلیدی

1-مقدمه

2.کارهای مرتبط

3.پیشینه پژوهش

3.1الگوریتم های ژنتیکی

3.2منطق فازی

شکل 1: نمونه درجه عضویت

4.سیستم تشخیص ناهنجاری شبکه

شکل 2: تشخیص ناهنجاری مبتنی بر سیستم تشخیص نفوذ که ترکیبی از الگوریتم ژنتیک و رویکردهای منطق فازی است.

4.1تعیین خصوصیات ترافیک شبکه با استفاده از الگوریتم ژنتیک

شکل 3: تولید DSNSF با استفاده از رفتار ترافیکی گذشته.

شکل 4: تکامل متناسب در یک بازه زمانی.

4.2تشخیص ناهنجاری شبکه منطقی فازی

5.نتایج

جدول 1: پارامترهای مورد استفاده در سیستم پیشنهادی متخصص.

شکل 5: خطاهای میانگین مربع نرمال با تعداد هفته هایی که برای تولید DSNSF استفاده می شود متفاوت است.

5.1 تحلیل کلی

شکل 6: NMSE از هر ویژگی نوامبر 2012.

شکل 7: منحنی های دقت-بازیابی و RoC.

5.2مطالعه موردی

5.2.1آثار ناهنجاری

جدول 2: ناهنجاری های تزریق شده در 11/06/2012.

شکل 8: ترافیک ، DSNSF و آستانه ششم نوامبر 2012.

شکل 9: عضویت گاوسی در ششم نوامبر 2012 

شکل 10: آلارم های سیستم تشخیص ناهنجاری.

5.2.2ارزیابی تشخیص ناهنجاری

شکل 11: منحنی های ROC از روشهای مقایسه شده برای تشخیص ناهنجاری.

جدول 3: مقایسه تشخیص ناهنجاری بین روش فازی و سایر روشهای آزمایش شده.

6.جمع بندی

با توجه به تعداد بالای برنامه هایی که از شبکه های رایانه ای استفاده می کنند و برخی از آنها برای کاربران و شرکت ها بسیار مهم هستند، مدیریت شبکه ضروری است. بنابراین ، یکپارچگی و در دسترس بودن شبکه های رایانه ای در اولویت قرار گرفتند و مدیریت آن را تبدیل به یک منبع اساسی می کند. در این کار، یک طرح ترکیبی از الگوریتم ژنتیک و منطق فازی برای تشخیص ناهنجاری شبکه بحث شده است. الگوریتم ژنتیک برای تولید امضای دیجیتال در بخش شبکه با استفاده از تحلیل جریان استفاده می شود، جایی که اطلاعات استخراج شده از شبکه ی داده های جریان برای پیش بینی رفتار ترافیک شبکه ها در یک بازه زمانی معین استفاده می شود. علاوه بر این، طرح منطق فازی برای تصمیم گیری در مورد اینکه آیا یک نمونه نشان دهنده یک ناهنجاری است یا خیر، متفاوت از برخی رویکردهای موجود در پیشینه پژوهش است. در واقع، پیشنهاد می شود یک سیستم متخصص با امکان نظارت بر ترافیک شبکه با جریان IP در حالی که رفتارهای مورد انتظار در یک بازه زمانی منظم ایجاد می شود، در صورت وجود یک مشکل احتمالی، اعلام خطر می کند. سیستم تشخیص ناهنجاری پیشنهادی مشکلات شبکه را بطور خودمختار در معرض نمایش می گذارد. نتایج به دست آمده از اعمال روش پیشنهادی در یک جریان واقعی ترافیک شبکه به دقت 96.53٪ می رسد و نرخ مثبت کاذب آن برابر با 0.56٪ است. علاوه بر این، روش ما در مقایسه با چندین رویکرد دیگر موفق به دستیابی به عملکرد بالاتری است.

شبکه های رایانه ای الگویی را که مردم در آن یک سری وظایف و کارهای روزانه شان را انجام می دهند تغییر می دهد. به عنوان مثال، حساب های بانکی از طریق اینترنت قابل مدیریت است، از نامه های الکترونیکی به جای نامه های کاغذی استفاده می شود، ارتباط صوتی با Voice over IP (VoIP ) به جای تلفن انجام می شود، دسترسی سریع به اخبار از طریق صفحات وب، پخش فیلم و سایر موارد. در کنار این خدمات اساسی، مفاهیم شبکه مدرن مانند اینترنت اشیاء (IoT) و شبکه های خودکار ویژه وسایل نقلیه (VANET) هم برای تحقق اهداف خود از شبکه های رایانه ای استفاده می کنند. برخی از این برنامه ها دارای اطلاعات شخصی و انتقادی مربوط به افراد و سازمان ها هستند و باید دسترسی محدود داشته باشند. بنابراین لازم است برای حفظ شبکه های رایانه ای یکپارچگی، در دسترس بودن و انعطاف پذیری آنها نظارت شود. برای چنین هدفی، پروتکل های نظارت استاندارد طراحی شدند و توسعه یافتند. دو روش استاندارد نظارت بر شبکه وجود دارد: پروتکل ساده مدیریت شبکه (SNMP) و صادرات جریان اطلاعات پروتکل اینترنت (IPFIX) هر دو روش توسط نیروی کار مهندسی اینترنت (IETF) و کار در سطح شبکه استاندارد سازی شدند. IPFIX بر اساس جریان شبکه است، که بسته های مشترک با مجموعه ای از خواص مانند پروتکل حمل و نقل، IP منبع و مقصد و پورت های مبدا و مقصد را گروه بندی می کند. تجزیه و تحلیل جریان اطلاعات بیشتری را نسبت به SNMP فراهم می کند، و اطلاعات بیشتری نسبت به تحلیل ترافیکی گسترده ارائه می دهد. در این کار از یک پروتکل مبتنی بر جریان شبکه برای استخراج اطلاعات استفاده می شود که در سیستم پیشنهادی تشخیص ناهنجاری شبکه (NADS) استفاده می شود. دو روش اصلی برای تشخیص ناهنجاری ها در پیشینه ی پژوهش وجود دارند (پچا و پارک، 2007). از گذشته در تشخیص مبتنی بر امضا، از یک پایگاه داده ای امضاهای شناخته شده استفاده می شود تا بررسی شود که آیا رفتار شبکه فعلی با الگوی شناخته شده که نشان دهنده ناهنجاری است مطابقت دارد (یو، 2012). در مقابل، رویکرد جایگزین از تشخیص مبتنی بر پروفایل استفاده می کند (گونگ و همکاران ، 2005). با استفاده از ترافیک گذشته ی شبکه، مشخصات رفتار عادی پیش بینی می شود و، اگر رفتار فعلی با مشخصات متفاوت باشد، آلارم زده می شود. تفاوت اصلی بین این رویکردها این است که رویکردهای مبتنی بر امضا باید امضای مشکلات را بدانند در حالی که تشخیص مبتنی بر مشخصات آنها وجود ندارد. اما، به عنوان نقطه ضعف این رویکرد، مورد دوم قادر به شناسایی مشکل فعلی نیست، در حالی که مورد اول می تواند مشکل مشاهده شده را شناسایی کند. رویکرد ترکیبی نیز وجود دارد که در آن هر دو روش فوق را با توانایی تشخیص مشکلات ناشناخته و شناسایی کسانی که دارای امضاهای شناخته شده هستند ترکیب می کند. NADS به دلیل اهمیتی که دارد موضوعی است که به طور گسترده تحقیق شده است (آمارال و همکاران، 2017). روش های موجود برای کمک به مدیریت شبکه از طریق NADS از نظر دسته بندی فرق می کنند مانند آماری، خوشه بندی، محاسبات نرم و سایر موارد متفاوت است. NADS ارائه شده در این کار از مفهوم امضای دیجیتال بخش شبکه با استفاده از تحلیل جریان معروف به DSNSF استفاده می کند. در این رویکرد، رفتار شبکه بر اساس اطلاعات جمع آوری شده از طریق جریان شبکه و مقایسه با ترافیک شبکه واقعی تخمین زده می شود و در صورت وجود اختلاف قانع کننده، آلارم صادر می شود. رویکرد ارائه شده با هدف ایجاد پروفایل دقیق شبکه با استفاده از داده های اخیر در یک محیط با عدم قطعیت و عدم دقت انجام می شود. بنابراین، از روش های محاسبات نرم، یعنی الگوریتم های ژنتیک و منطق فازی، برای پیاده سازی سیستم استفاده شده است. علاوه بر این، تکنیک های محاسبات نرم معمولاً در مقایسه با سایر روشهایی که قادر به پرداختن به مسئله تشخیص ناهنجاری شبکه هستند هزینه محاسباتی کم دارند (ابراهیم، 2016). در درجه اول، الگوریتم ژنتیک برای مقابله با عدم قطعیت ها و منطق فازی برای مقابله با عدم دقت اعمال می شود (زاده ، 1994). الگوریتم ژنتیک یک رویکرد فراابتکاری مبتنی بر انتخاب طبیعی است و برای یادگیری رفتار شبکه استفاده می شود. این مجموعه به جای راه حلهای تکی راه حل های گروهی ایجاد می کند و با ارائه تعادل مناسب بین اکتشاف و بهره برداری، فضای جستجو را به روشی کارآمد ارزیابی می کند.رپینشک و همکاران ، 2013). علاوه بر این، طیف گسترده ای از راه حل ها را از طریق عملیات ژنتیکی خود پوشش می دهد، و در بدترین حالت نتایج تقریباً بهینه ای را ارائه می دهد. منطق فازی برای شناسایی وجود ناهنجاری در فاصله زمانی استفاده می شود. محاسبه آستانه با استفاده از میانگین حرکت دارای وزن نمایی (EWMA) انجام می شود، روشی که وزن بیشتری را به مشاهدات اخیر اختصاص می دهد. با ترکیب این سه روش، یک NADS برای تشخیص ناهنجاری ها در یک بخش شبکه ارائه می شود. هدف از این کار فراهم کردن یک سیستم تخصصی با قابلیت نظارت بر ترافیک از طریق جریان IP و ایجاد یک رفتار مورد انتظار برای فواصل زمانی، صدور هشدار به مدیر شبکه هنگام وقوع حوادث غیر عادی است. سهم اصلی این اثر به شرح زیر ذکر شده است: • سیستمی را فراهم می کند که بتواند ناهنجاری ها را در یک شبکه رایانه ای بطور خودمختار تشخیص دهد و در صورت بروز مشکل احتمالی به مدیر شبکه هشدار دهد. • الگوریتم ژنتیک و رویکرد منطق فازی را برای تولید یک سیستم تخصصی با قابلیت پیش بینی و کشف ناهنجاری های شبکه بر اساس شش ویژگی استخراج شده از داده های جریان IP ترکیب می کند. الگوریتم ژنتیک برای پیش بینی رفتار شبکه استفاده می شود؛ که براساس این تحلیل، از روش منطق فازی برای ارزیابی اینکه آیا یک بازه زمانی در داده های جریان IP دارای ناهنجاری است استفاده می شود. • تحقیقات NADS موضوعی است که مورد توجه گسترده ای قرار گرفته است و آثار بسیاری در رابطه با کاربردها و نتایج آن دارد. در این مقاله روش آموزشی بدون نظارتی ارائه شده است، که با استفاده از داده های جریان یک شبکه دانشگاهی، آزمایش می شود. این کار به شرح زیر تقسیم می شود: بخش 2 کارهای مرتبط و سیستم های تشخیص نفوذ نوین را ارائه می دهد. بخش 3 زمینه اصلی در مورد روشهای به کار رفته در این کار را نشان می دهد. بخش 4 سیستم تخصصی با هدف تشخیص ناهنجاری شبکه را معرفی می کند. در بخش 5 نتایج به دست آمده بحث می شوند. سرانجام ، بخش 6 نتیجه گیری های حاصل از این کار را ارائه می دهد.