AbstractIP networks are constantly

Abstract
IP networks are constantly targeted by new techniques of denial of service attacks (SYN flooding, port scan, UDPflooding, etc), causing service disruption and considerable financial damage. The on-line detection of DoS attacks inthe current high-bit rate IP traffic is a big challenge. We propose in this paper an on-line algorithm for port scandetection. It is composed of two complementary parts: First, a probabilistic counting part, where the number of distinct destination ports is estimated by adapting a method called ‘sliding HyperLogLog’ to the context of port scan in IP traffic. Second, a decisional mechanism is performed on the estimated number of destination ports in order to detect in real time any behavior that could be related to a malicious traffic. This latter part is mainly based on the exponentially weighted moving average algorithm (EWMA) that we adapted to the context of on-line analysis by adding a learning step (supposed without attacks) and improving its update mechanism. The obtained port scan detecting method is tested against real IP traffic containing some attacks. It detects all the port scan attacks within a very short time response (of about 30 s) and without any false positive. The algorithm uses a very small total memory of less than 22 kb and has a very good accuracy on the estimation of the number of destination ports (a relative error of about 3.25%), which is in agreement with the theoretical bounds provided by the sliding HyperLogLog algorithm.

ผลลัพธ์ (ไทย) 2:

บทคัดย่อเครือข่าย IP มีการกำหนดเป้าหมายอย่างต่อเนื่องโดยใช้เทคนิคใหม่ของการปฏิเสธการโจมตีบริการ (น้ำท่วม SYN สแกนพอร์ต UDPflooding ฯลฯ ) ทำให้เกิดการหยุดชะงักบริการและความเสียหายทางการเงินมาก
บนเส้นการตรวจสอบของการโจมตี DoS inthe อัตราบิตสูงในปัจจุบันการจราจร IP เป็นความท้าทายใหญ่ เราเสนอในบทความนี้อัลกอริทึมในบรรทัดสำหรับพอร์ต scandetection มันประกอบด้วยสองส่วนเสริม: ครั้งแรกที่เป็นส่วนหนึ่งที่น่าจะนับที่จำนวนของพอร์ตปลายทางที่แตกต่างกันเป็นที่คาดกันโดยการปรับวิธีการที่เรียกว่า 'เลื่อน HyperLogLog' กับบริบทของพอร์ตการสแกนในการจราจร IP ประการที่สองกลไกการตัดสินใจที่จะดำเนินการกับจำนวนโดยประมาณของพอร์ตปลายทางเพื่อตรวจสอบในเวลาจริงพฤติกรรมใด ๆ ที่อาจจะเกี่ยวข้องกับการจราจรที่เป็นอันตราย ส่วนหลังนี้เป็นไปตามหลักที่ถ่วงน้ำหนักชี้แจงขั้นตอนวิธีการย้ายเฉลี่ย (EWMA) ที่เราปรับให้เข้ากับบริบทของการวิเคราะห์ในบรรทัดโดยการเพิ่มขั้นตอนการเรียนรู้ (โดยไม่ควรโจมตี) และการปรับปรุงกลไกการปรับปรุงของ พอร์ตที่ได้รับการสแกนวิธีการตรวจสอบมีการทดสอบกับการจราจร IP จริงที่มีการโจมตีบาง ตรวจพบการโจมตีทั้งหมดสแกนพอร์ตภายในการตอบสนองเวลาที่สั้นมาก (ประมาณ 30 วินาที) และไม่มีการเท็จบวกใด ๆ ขั้นตอนวิธีการใช้หน่วยความจำทั้งหมดที่น้อยมากน้อยกว่า 22 กิโลไบต์และมีความถูกต้องที่ดีมากในการประมาณจำนวนของพอร์ตปลายทาง (ข้อผิดพลาดญาติประมาณ 3.25%) ซึ่งอยู่ในข้อตกลงกับขอบเขตทางทฤษฎีที่มีให้โดยเลื่อน อัลกอริทึม HyperLogLog

ผลลัพธ์ (ไทย) 3:

เครือข่าย IP นามธรรม
อยู่ตลอดเวลาเป้าหมาย โดยเทคนิคใหม่ของการปฏิเสธการโจมตีบริการ , น้ำท่วม , Port Scan , udpflooding , ฯลฯ ) , ก่อให้เกิดการหยุดชะงักบริการและความเสียหายทางการเงินมาก การตรวจสอบออนไลน์ของการโจมตี DoS ในปัจจุบันอัตราบิตสูง IP การจราจรเป็นความท้าทายใหญ่ เรานำเสนอในบทความนี้เป็นขั้นตอนวิธีแบบออนไลน์สำหรับพอร์ต scandetection .มันประกอบด้วยสองส่วน : แรก , การเสริมนับส่วนที่แตกต่างกันจำนวนของพอร์ตปลายทาง ( โดยการปรับวิธีการที่เรียกว่า ' เลื่อน hyperloglog ' กับบริบทของพอร์ต IP สแกนในการจราจร ประการที่สองกลไกการตัดสินใจคือการประมาณจำนวนของพอร์ตปลายทางเพื่อตรวจสอบในเวลาจริงใด ๆของพฤติกรรมที่อาจจะเกี่ยวข้องกับการจราจรที่เป็นอันตรายส่วนนี้ส่วนใหญ่จะขึ้นอยู่กับขั้นตอนวิธีการเฉลี่ยถ่วงน้ำหนักเคลื่อนที่ชี้แจง ( ewma ) ที่เราปรับให้เข้ากับบริบทของการวิเคราะห์แบบออนไลน์โดยการเพิ่มการเรียนรู้ขั้นตอน ( ต้องไม่มีการโจมตี ) และการปรับปรุงของการปรับปรุงกลไก ได้มีการทดสอบกับวิธีการตรวจสอบสแกนพอร์ตการจราจร IP จริงมีการโจมตีตรวจพบทั้งหมดสแกนพอร์ตโจมตีภายในเวลาการตอบสนองที่สั้นมาก ( ประมาณ 30 วินาที ) และไม่มีบวกปลอม ขั้นตอนวิธีการใช้หน่วยความจำทั้งหมดขนาดเล็กมากน้อยกว่า 22 กิโล และมีความแม่นยำมากในการประมาณจำนวนของพอร์ตปลายทาง ( ค่าคลาดเคลื่อนสัมพัทธ์ประมาณ 3.25 % ) ซึ่งสอดคล้องกับทฤษฎีขอบเขตโดยขั้นตอนวิธี hyperloglog
เลื่อน .