Anti-correlation as a criterion to select appropriate counter-measures in an intrusion detection framework
L'anti-corrélation comme critère de sélection de contre-mesures dans le contexte de la détection d'intrusion
Résumé
Network traffic data collected for intrusion analysis is typically high-dimensional making it difficult to both analyze and visualize. Principal Component Analysis is used to reduce the dimensionality of the feature vectors extracted from the data to enable simpler analysis and visualization of the traffic. Principal Component Analysis is applied to selected network attacks from the DARPA 1998 intrusion detection data sets namely: Denial-of-Service and Network Probe attacks. A method for identifying an attack based on the generated statistics is proposed. Visualization of network activity and possible intrusions is achieved using Bi-plots, which provides a summary of the statistics
Étant donné que les systèmes informatiques sont de plus en plus vulnérables aux activités malveillantes, l'utilisation de la détection d'intrusion est nécessaire mais ne suffit pas. Nous devons élaborer des méthodes efficaces de réaction aux intrusions afin d'arrêter les intrusions détectées. Notre approche est basée sur une bibliothèque de différents types de contremesures. L'objectif est d?aider l'administrateur à choisir dans cette bibliothèque la contre-mesure la mieux adaptée quand une intrusion est détectée. Pour ce faire nous définissons formellement la notion d'anti-corrélation qui est utilisée pour sélectionner les contremesures permettant d'arrêter l'intrusion. Nous finissons par la présentation d'une plateforme de détection d'intrusion mettant en oeuvre les mécanismes présentés dans cet article.