Intrusion detection systems (IDSs)

Intrusion detection systems (IDSs) produce a large number of alerts, which overwhelm their operators, e.g., a deployment of the popular Snort IDS in the campus network of ETH Zurich (which includes more than 40 thousand hosts) produces on average 3 million alerts per day. In this paper, we introduce an IDS alert correlator, which we call Extrusion Detection Guard (EDGe), to detect infected hosts within a monitored network from IDS alerts. EDGe detects several malware that exhibit a multi-stage behavior and it can identify the family and even variant of certain malware, which helps to remediate and prioritize incidents. Our validation based on manual real-time analysis of a sample of detected incidents shows that only 15% of the detected infections are false positives. In addition, we compare EDGe with a state-of-the-art previous work and show that EDGe finds 60% more infections and has a lower number of false positives. A large part of this paper focuses on characterizing 4,358 infections (13.4 new infections per day) detected with EDGe from a unique dataset of 832 million IDS alerts collected from an operational net- work over a period of 9 months. Our characterization shows that infections exhibit spatial correlations and attract many further inbound attacks. Moreover, we investigate attack heavy hitters and show that client infections are significantly more bursty compared to server infections. Finally, we compare the alerts produced by different malware families and highlight key differences in their volume, aliveness, fanout, and severity.

ผลลัพธ์ (ไทย) 1:

ระบบตรวจสอบการบุกรุก (IDSs) ผลิตจำนวนมากของการแจ้งเตือน การต่อตัวของพวกเขา เช่น การใช้งาน Snort รหัสยอดนิยมในเครือข่ายมหาวิทยาลัย ETH ซูริก (ซึ่งมีมากกว่า 40 พันโฮสต์) ผลิตเฉลี่ยเตือน 3 ล้านต่อวัน ในเอกสารนี้ เราแนะนำเป็นรหัสเตือน correlator ซึ่งเราเรียกการไหลออกมาตรวจรักษา (ขอบ), ตรวจหาโฮสต์ที่ติดเชื้อภายในเครือข่ายตรวจสอบจากรหัสการแจ้งเตือน ขอบตรวจพบมัลแวร์ต่าง ๆ ที่แสดงลักษณะการทำงานหลายขั้นตอน และสามารถระบุตัวแปรแม้ของมัลแวร์บางอย่าง ซึ่งช่วยในการสำรอง และจัดลำดับความสำคัญปัญหาและครอบครัว ตรวจสอบของเราตามตัวอย่างของปัญหาที่ตรวจพบด้วยตนเองแบบเรียลไทม์วิเคราะห์แสดงเพียง 15% ของการติดเชื้อที่ตรวจพบเท็จทำงานผิดพลาด เราเปรียบเทียบขอบกับรัฐ-of-the-art งานก่อนหน้า และแสดงขอบพบติดเชื้อ 60% และได้ลดจำนวนลงของปลอมทำงานผิดพลาด ส่วนใหญ่กระดาษนี้เน้นในการกำหนดลักษณะการติดเชื้อ 4,358 (13.4 ใหม่ติดเชื้อต่อวัน) พบกับขอบจากชุดข้อมูลเฉพาะของการแจ้งเตือนรหัส 832 ล้านที่รวบรวมจากการดำเนินงานสุทธิงานระยะ 9 เดือน จำแนกของเราแสดงว่า ติดเชื้อแสดงปริภูมิสัมพันธ์ และดึงดูดการโจมตีหลายขาเข้าเพิ่มเติม นอกจากนี้ เราตรวจสอบ hitters หนักโจมตี และแสดงว่า ไคลเอนต์ติดเชื้อเป็น bursty มากขึ้นอย่างมีนัยสำคัญเมื่อเทียบกับการติดเชื้อของเซิร์ฟเวอร์ สุดท้าย เราเปรียบเทียบข้อความแจ้งเตือนที่ผลิต โดยมัลแวร์ต่าง ๆ ครอบครัวและเน้นหลักความแตกต่างในเสียง aliveness, fanout และความรุนแรง

ผลลัพธ์ (ไทย) 2:

ระบบตรวจจับการบุกรุก (IDSs) ผลิตจำนวนมากของการแจ้งเตือนซึ่งครอบงำผู้ประกอบการของพวกเขาเช่นการใช้งานที่เป็นที่นิยม Snort IDS ในเครือข่ายมหาวิทยาลัยของผลประโยชน์ทับซ้อนซูริก (ซึ่งรวมถึงกว่า 40,000 เจ้าภาพ) ผลิตโดยเฉลี่ย 3 ล้านแจ้งเตือนต่อ วัน ในบทความนี้เราแนะนำ IDS แจ้งเตือน correlator ที่เราเรียกว่าการตรวจสอบการอัดรีดยาม (EDGE) เพื่อตรวจสอบโฮสต์ที่ติดเชื้อภายในเครือข่ายการตรวจสอบจาก IDS การแจ้งเตือน ขอบตรวจพบมัลแวร์หลายอย่างที่แสดงพฤติกรรมแบบหลายขั้นตอนและสามารถระบุตัวตนของคนในครอบครัวและยังแตกต่างจากมัลแวร์บางอย่างที่จะช่วยให้การจัดลำดับความสำคัญและ remediate เหตุการณ์ การตรวจสอบของเราขึ้นอยู่กับการวิเคราะห์แบบ real-time คู่มือของกลุ่มตัวอย่างของเหตุการณ์ที่ตรวจพบแสดงให้เห็นว่าเพียง 15% ของการติดเชื้อที่ตรวจพบเป็นบวกเท็จ นอกจากนี้เราเปรียบเทียบขอบกับรัฐของศิลปะการทำงานก่อนหน้านี้และแสดงให้เห็นว่าการติดเชื้อพบว่าขอบ 60% มากขึ้นและมีจำนวนลดลงของผลบวกปลอม ส่วนใหญ่ของการวิจัยนี้มุ่งเน้นไปที่ลักษณะการติดเชื้อ 4,358 (13.4 การติดเชื้อใหม่ต่อวัน) ตรวจพบด้วยคมจากชุดข้อมูลที่ไม่ซ้ำกันของ 832000000 IDS การแจ้งเตือนที่เก็บรวบรวมจากเครือข่ายการดำเนินงานในช่วง 9 เดือนที่ ตัวละครของเราแสดงให้เห็นว่าการติดเชื้อที่แสดงความสัมพันธ์เชิงพื้นที่และดึงดูดการโจมตีขาเข้าจำนวนมากต่อไป นอกจากนี้เราจะตรวจสอบที่น่าเกรงขามหนักการโจมตีและแสดงให้เห็นว่าการติดเชื้อของลูกค้าอย่างมีนัยสำคัญมากขึ้นเมื่อเทียบกับช่วง ๆ การติดเชื้อเซิร์ฟเวอร์ สุดท้ายเราเปรียบเทียบการแจ้งเตือนที่ผลิตโดยครอบครัวมัลแวร์ที่แตกต่างและเน้นความแตกต่างที่สำคัญในปริมาณของพวกเขา aliveness, Fanout และความรุนแรง

ผลลัพธ์ (ไทย) 3:

ระบบตรวจจับการบุกรุก ( idss ) ผลิตเป็นจำนวนมากของการแจ้งเตือน ซึ่งทำให้ผู้ประกอบการของพวกเขาเช่น บริษัท IDS Snort ยอดนิยมในเครือข่ายมหาวิทยาลัยแห่งซูริค ( ซึ่งมีมากกว่า 40 , 000 โยธา ) ผลิตโดยการแจ้งเตือน 3 ล้านต่อวัน ในกระดาษนี้เราแนะนำรหัสมีแจ้งเตือนค่าสัมพันธ์ ซึ่งเราเรียกยามการรีด ( ขอบ )การตรวจสอบโฮสต์ที่ติดเชื้อภายในตรวจสอบเครือข่ายจากรหัสการแจ้งเตือน ตรวจพบมัลแวร์ที่มีขอบหลายซึ่งพฤติกรรมและมันสามารถระบุครอบครัวและแม้กระทั่งบางตัวแปรของมัลแวร์ ซึ่งช่วยในการรักษา และจัดลำดับเหตุการณ์การตรวจสอบของเราขึ้นอยู่กับการวิเคราะห์แบบเรียลไทม์ของคู่มือตัวอย่างตรวจพบเหตุการณ์ต่าง ๆพบว่ามีเพียง 15% ของการตรวจพบเชื้อเป็นบวกเท็จ นอกจากนี้ เราเปรียบเทียบกับรัฐ - of - the - art ขอบทํางานก่อน และแสดงให้เห็นว่าขอบพบเชื้อมากกว่า 60% และมีจำนวนลดลงของผลบวกปลอม ส่วนใหญ่ของบทความนี้จะเน้นลักษณะ 4358 เชื้อ ( 134 ) ตรวจพบเชื้อใหม่วันต่อวันกับขอบจากชุดข้อมูลเฉพาะของ 832 ล้าน รหัสการแจ้งเตือนที่รวบรวมจากผลงานการปฏิบัติงานรวมระยะเวลา 9 เดือน การศึกษาของเราแสดงให้เห็นว่าเชื้อแสดงความสัมพันธ์เชิงพื้นที่และดึงดูดการโจมตีขาเข้าเพิ่มเติมมากมาย นอกจากนี้เราตรวจสอบการโจมตีหนักน่าเกรงขามและแสดงให้เห็นว่าเชื้อลูกค้า bursty อย่างมีนัยสำคัญมากขึ้นเมื่อเทียบกับเชื้อที่เซิร์ฟเวอร์ สุดท้ายเปรียบเทียบการแจ้งเตือนมัลแวร์ต่าง ๆที่ผลิตโดยครอบครัวและเน้นความแตกต่างสำคัญในระดับเสียง ของ aliveness fanout , และความรุนแรง