Similarity as a central approach to flow-based anomaly detection

DRAŠAR, Martin, Martin VIZVÁRY a Jan VYKOPAL. Similarity as a central approach to flow-based anomaly detection. International Journal of Network Management. John Wiley & Sons, Ltd., 2014, roč. 24, č. 4, s. 318-336. ISSN 1055-7148. Dostupné z: https://dx.doi.org/10.1002/nem.1867.

Základní údaje

• Originální název: Similarity as a central approach to flow-based anomaly detection
• Název česky: Podobnost jako hlavní přístup k detekci anomálií na základě síťových toků
• Autoři: DRAŠAR, Martin (203 Česká republika, garant, domácí), Martin VIZVÁRY (703 Slovensko, domácí) a Jan VYKOPAL (203 Česká republika, domácí).
• Vydání: International Journal of Network Management, John Wiley & Sons, Ltd. 2014, 1055-7148.

Další údaje

• Originální jazyk: angličtina
• Typ výsledku: Článek v odborném periodiku
• Obor: 10201 Computer sciences, information science, bioinformatics
• Stát vydavatele: Spojené státy
• Utajení: není předmětem státního či obchodního tajemství
• WWW: URL
• Impakt faktor: Impact factor: 0.283
• Kód RIV: RIV/00216224:14610/14:00076011
• Organizační jednotka: Ústav výpočetní techniky
• Doi: http://dx.doi.org/10.1002/nem.1867
• UT WoS: 000339479100008
• Klíčová slova česky: podobnost; detekce anomálií; síťové toky
• Klíčová slova anglicky: similarity; anomaly detection; network flows
• Štítky: rivok
• Příznaky: Mezinárodní význam, Recenzováno

Anotace

Network flow monitoring is currently a common practice in mid and large-size networks. Methods of flow-based anomaly detection are subject to ongoing extensive research, because detection methods based on deep packet inspection have reached their limits. However, there is a lack of comprehensive studies mapping the state of the art in this area. For this reason, we have conducted a thorough survey of flow-based anomaly detection methods published on academic conferences and used by the industry. We have analyzed these methods using the perspective of similarity which is inherent to any anomaly detection method. Based on this analysis, we have proposed a new taxonomy of network anomalies and a similarity-oriented classification of flow-based detection methods. We have also identified four issues requiring further research: the lack of flow-based evaluation data sets, infeasible benchmarking of proposed methods, excessive false positive rate, and limited coverage of certain anomaly classes.