Anomaly-Based DetectionAnomaly-base

Anomaly-Based Detection

Anomaly-based detection ใช้วิธีการหาเหตุการณ์ที่เบี่ยงเบนไปจาก เหตุการณ์ปกติในการตรวจจับ ซึ่งการทํางานเป็นการเปรียบเทียบเชิงสถิติดังนั้นการใช้ งาน IDS ประเภทนี้จําเป็นต้องให้IDS เรียนรู้ลักษณะ traffic ปกติก่อนในช่วงระยะเวลา หนึ่ง (training period) เพื่อใช้สร้างฐานข้อมูลที่เรียกว่า profile จากนั้นจึงจะเริ่มใช้งาน ได้ profile จะเก็บค่าเหตุการณ์ของระบบที่อยู่ในสภาวะปกติเช่น user, host, bandwidth, การเชื่อมต่อ เป็นต้น ยกตัวอย่างเช่น profile ของเครือข่ายบอกว่าปกติแล้ว มีการรับส่งข้อมูลประเภท web ที่Internet gateway คิดเป็น 20% ของ bandwidth ในช่วงเวลาทํางานปกติทันทีที่IDS พบว่ามีการรับส่งข้อมูลประเภท web ที่Internet gateway เกินค่า threshold ที่คาดไว้จะมีการส่งแจ้งเตือนไปยังผู้ดูแลระบบทันที

นอกจากนี้ยังสามารถปรับเปลี่ยน profile ให้ตรวจจับตามที่ต้องการได้เช่น กําหนดจํานวน email ที่รับส่งใน 1 วนต่อั 1 ผู้ใช้งาน หรือ จํานวนการ login เข้า server ทั้งที่สําเร็จและไม่สําเร็จต่อวัน หรือ ระดับการทํางานของ CPU ของเครื่อง server เป็น ต้น และเนื่องจาก IDS ประเภทนี้ไม่จําเป็นต้องอัพเดท signature เหมือน signature-based IDS ทําให้สามารถตรวจจับการบุกรุกแบบ zero-day attack ได้ยกตัวอย่าง เช่น มีการบุกรุกจาก malware ชนิดใหม่ที่ทําให้เกิดการใช้งาน CPU อย่างมาก มีการส่ง email จํานวนมาก สร้าง network connection จํานวนมากในระยะเวลาอันสั้น ซึ่งทําให้ เกิดเหตุการณ์ที่เบี่ยงเบนไปจากเหตุการณ์ปกติอย่างชัดเจน
ปัญหาของวิธีการตรวจจับวิธีนี้คือ ความถูกต้องของ profile เนื่องจากรูปแบบ ของการรับส่งข้อมูลมีความซับซ้อนมากขึ้นเรื่อยๆ ในบางองค์กรที่มีการใช้งาน หลากหลาย application หลาย protocol ยิ่งทําให้ยากในการปรับจูน profile ทําให้เกิด ปัญหาของการเกิด false positive จํานวนมาก ยกตัวอย่างเช่น ในการทํางานบํารุงรักษา ระบบปกติจะมีการสํารองข้อมูล (backup) ซึ่งจะมีการส่งไฟล์ขนาดใหญ่เดือนละ 1 ครั้ง ซึ่งเป็นไปได้ว่าขณะที่ IDS กําลังเรียนรู้พฤติกรรมปกติเพื่อทํา profile ไม่ได้เห็น เหตุการณ์นี้ทําให้IDS แจ้งเตือนการ backup ข้อมูลนี้ว่าเป็นเหตุการณ์ผิดปกติได้

Stateful Protocol Analysis

การตรวจจับแบบ Stateful Protocol Analysis เป็นการตรวจจับหาสิ่งปกติบน protocol เฉพาะนั้นๆ โดยการเปรียบเทียบกับ protocol profile ที่ถูกจัดทําไว้แล้ว

Stateful Protocol Analysis ต่างจาก Anomaly-based detection ตรงที่profile ถูก สร้างขึ้นไว้แล้วจาก vendor แต่ละรายที่ใช้protocol นั้นๆ ในการรับส่งข้อมูล ไม่ได้เกิด จากการเรียนรู้ลักษณะพฤติกรรมปกติของเครือข่ายหรือเครื่องบนเครื่องข่าย

ผลลัพธ์ (อังกฤษ) 1:

Anomaly-Based DetectionAnomaly-based detection method for an event that deviates from the. Regular events in the detector, which works as a statistical comparison, so this type of IDS deployment require IDS. Learn how normal traffic before, during a period of time (training period) to create a database called the profile, and then start to use the system events profile settings will be stored in normal conditions, such as user, host, connectivity, bandwidth, etc. For example, the profile of the network, saying that usually has a traffic web category at the Internet gateway accounted for 20% of bandwidth during normal working hours upon IDS. Find traffic web category at the Internet gateway Exceeding the threshold values that are expected to send notifications to the administrator immediately.You can also modify the profile that you want to capture as many email that gets sent in 1 loop 1 ต่อั users or the number of login into the server, both the successful and unsuccessful per day or working level of the server computer's CPU, etc, and because this type of IDS do not need updated signature IDS like signature-based makes it possible to detect an intrusion attack is zero-day for example, there is a new type of malware threats causing the CPU usage significantly. Send bulk email Create a network connection a lot in a short time, which makes. The event occurred that clearly deviates from the normal event.The issue of how this method of detection is the accuracy of the profile, because the pattern of data flow is more complicated in some organizations that have multiple application, multiple protocol tends to make it difficult to tune profile caused the problem of large numbers of false positive. For example, to perform maintenance tasks The system usually has a backup (backup) which will be send large files once a month, which is possible as normal behaviour are learning IDS to profile not visible. This makes the event IDS. This data backup notification that it is an unusual event.Stateful Protocol AnalysisThe Stateful Protocol Analysis detection is the detection of a specific protocol for normal things on them by comparison with protocol profile that is intended.Stateful Protocol Analysis detection from the Anomaly-based profile is created from each vendor that uses protocol. The data flow is not caused by normal behaviour characteristics, learning of the network or computer on a network.

ผลลัพธ์ (อังกฤษ) 3:

Anomaly-Based Detection

.Anomaly-based detection used to find event that deviates from. Regular events in detection. This work is a comparative statistics, so the IDS types which need to IDS learning style traffic.One (training period) to create a database called profile then begins to use, profile will keep the value system event is in the normal state, such as User.,, host bandwidthConnection, etc. for example profile network said that usually is sent ข้อมูลประเภท web that Internet gateway. Think of a 20% bandwidth during normal working as soon as IDS. The data type web that Internet gateway.Threshold expected will send notifications to the administrator immediately
.
.It can also modify the profile to detect as needed, such as volume, the number of email to send in 1 Garden on that 1 users. Or the number of login into server both successful and unsuccessful per day or working level of CPU.Server, etc., and because IDS type does not need to be updated signature like signature-based IDS can make intrusion detection model. Zero-day attack has for example, the invasion of malware new type causes the use CPU greatly.Email many create network connection a lot in a short time, which makes the incident where deviation from normal event clearly
.The problem of detection method this method is the accuracy of the profile due to form. Of data transfer is complicated more and more. In some organizations that use various application many protocol makes difficult to tune the profile.The problem of the false positive many, for example in the work of maintenance system are usually backup (backup), which is to send large files per month 1 times. It is possible that while IDS.Profile seen, making this event IDS alert Backup this information that is unusual events have
.


Stateful Protocol Analysis detection Stateful Protocol Analysis is a normal thing on detection for specific protocol by comparison with. Protocol profile was prepared and

.Stateful Protocol Analysis from Anomaly-based detection where profile was created out of vendor each use protocol. The data transfer is not born from learning the normal behavior of network หรือเครื่องบน machine network
.