J 2008

CAMNEP: An intrusion detection system for high-speed networks

REHÁK, Martin, Michal PĚCHOUČEK, Karel BARTOŠ, Martin GRILL, Pavel ČELEDA et. al.

Basic information

Original name

CAMNEP: An intrusion detection system for high-speed networks

Name in Czech

CAMNEP: Systém detekce průniků pro vysokorychlostní sítě

Authors

REHÁK, Martin (203 Czech Republic), Michal PĚCHOUČEK (203 Czech Republic), Karel BARTOŠ (203 Czech Republic), Martin GRILL (203 Czech Republic), Pavel ČELEDA (203 Czech Republic, guarantor) and Vojtěch KRMÍČEK (203 Czech Republic)

Edition

Progress in Informatics, 2008, 1349-8614

Other information

Language

English

Type of outcome

Článek v odborném periodiku

Field of Study

10201 Computer sciences, information science, bioinformatics

Country of publisher

Japan

Confidentiality degree

není předmětem státního či obchodního tajemství

References:

URL

RIV identification code

RIV/00216224:14330/08:00033418

Organization unit

Faculty of Informatics

Keywords in English

intrusion detection network; behavior analysis; multi-agent system; trust; anomaly detection

Tags

anomaly detection, behavior analysis, intrusion detection network, multi-agent system, trust

Tags

International impact, Reviewed
Změněno: 6/8/2010 09:18, RNDr. Vojtěch Krmíček, Ph.D.

Abstract

ORIG CZ

V originále

The presented research aims to detect malicious traffic in high speed networks by means of correlated anomaly detection methods. In order to acquire the real-time traffic statistics in NetFlow format, we deploy transparent inline probes based on FPGA elements. They provide traffic statistics to the agent-based detection layer, where each agent uses a specific anomaly detection method to detect anomalies and describe the flows in its extended trust model. The agents share the anomaly assessments of individual network flows that are used as an input for the agents trust models. The trustfulness values of individual flows from all agents are combined to estimate their maliciousness. The estimate of trust is subsequently used to filter out the most significant events that are reported to network operators for further analysis. We argue that the use of trust model for integration of several anomaly detection methods and efficient representation of history data shall reduce the high rate of false positives (legitimate traffic classified as malicious) which limits the effectiveness of current intrusion detection systems.

In Czech

Cílem prezentovaného výzkumu je detekovat škodlivý provoz ve vysokorychlostních sítí integrováním metod pro detekce anomálií. Pro získání statistic reálného provozu v NetFlow formátu jsou nasazeny hardwarové sondy založené na FPGA čipech. Tyto sondy poskytují statistiky provozu detekční vrstvě založené na agentech, kde každý agent používá specifickou metodu pro detecki anomálií a popisuje toky ve svém rozšířeném trust modelu. Důvěryhodnost jednotrlivých toků od všech agentů je kombinována a na jejím základě je určena škodlivost. Pomocí této hodnoty jsou následně vyfiltrovány ty nejdůležitější bezpečnostní incidenty, které jsou předány síťovím administrátorům pro následnou analýzu. Ve článku prezentujeme, jak je možné použitím trust modelu a efektivní reprezentace historických dat snížit vysoké hodnoty false positives, které omezují efektivnost současných systémů pro detekci anomálií.

Links

N62558-07-C-0001, interní kód MU
Name: Distribuované mechanismy pro ochranu počítačových sítí (Acronym: CAMNEP)
Investor: U.S. Army RDECOM Acquisition Center, Cooperative Adaptive Mechanism for Network Protection
Displayed: 5/11/2024 10:20