नेटवर्क DDoS हमलों का पता लगाने के लिए मशीन-सिंथेटिक दृष्टिकोण। भाग २

फिर से नमस्कार। आज हम कोर्स "नेटवर्क इंजीनियर" के लॉन्च के लिए समर्पित सामग्री साझा करना जारी रखते हैं, जो मार्च के शुरू में ही शुरू हो जाता है। हम देखते हैं कि कई लेख "नेटवर्क-डीडीओएस हमलों का पता लगाने के लिए मशीन-सिंथेटिक दृष्टिकोण" के पहले भाग में रुचि रखते थे और आज हम आपके साथ दूसरा - अंतिम भाग साझा करना चाहते हैं।

3.2 विसंगति का पता लगाने की समस्या में छवि वर्गीकरण

अगला कदम परिणामी छवि की वर्गीकरण समस्या को हल करना है। सामान्य तौर पर, एक छवि में कक्षाओं (वस्तुओं) का पता लगाने की समस्या का समाधान वर्ग मॉडल बनाने के लिए मशीन लर्निंग एल्गोरिदम का उपयोग करना है, और फिर एक छवि में कक्षाओं (वस्तुओं) की खोज करने के लिए एल्गोरिदम।



एक मॉडल का निर्माण दो चरणों में होता है:

ए) एक वर्ग के लिए फ़ीचर निष्कर्षण: वर्ग के सदस्यों के लिए प्लॉट फ़ीचर वैक्टर।


अंजीर। 1

बी) बाद में मान्यता प्राप्त कार्यों के लिए प्राप्त मॉडल सुविधाओं में प्रशिक्षण।

क्लास ऑब्जेक्ट को फीचर वैक्टर का उपयोग करके वर्णित किया गया है। से सेक्टर बनते हैं:

ए) रंग जानकारी (उन्मुख ढाल हिस्टोग्राम);
ख) प्रासंगिक जानकारी;
c) वस्तु के भागों की ज्यामितीय व्यवस्था पर डेटा।

वर्गीकरण (पूर्वानुमान) एल्गोरिथ्म को दो चरणों में विभाजित किया जा सकता है:

क) छवि से विशेषताएं निकालें। इस स्तर पर, दो कार्य किए जाते हैं:

• चूंकि छवि में कई वर्गों की वस्तुएं हो सकती हैं, इसलिए हमें सभी प्रतिनिधियों को खोजने की आवश्यकता है। ऐसा करने के लिए, आप एक स्लाइडिंग विंडो का उपयोग कर सकते हैं जो ऊपरी बाएँ से निचले दाएं की छवि से गुजरती है।
• छवि को छोटा किया जाता है क्योंकि छवि में वस्तुओं का पैमाना बदल सकता है।

ख) एक छवि को एक विशेष वर्ग के साथ जोड़ना। वर्ग का एक औपचारिक विवरण, अर्थात्, उनकी परीक्षण छवियों द्वारा हाइलाइट की गई सुविधाओं का एक सेट, इनपुट के रूप में उपयोग किया जाता है। इस जानकारी के आधार पर, क्लासिफायर यह तय करता है कि छवि कक्षा से संबंधित है और निष्कर्ष के लिए निश्चितता की डिग्री का मूल्यांकन करता है।

वर्गीकरण के तरीके। वर्गीकरण के तरीके गणितीय आंकड़ों के तरीकों के आधार पर मुख्य रूप से विधर्मी दृष्टिकोण से औपचारिक प्रक्रियाओं तक होते हैं। आम तौर पर स्वीकृत वर्गीकरण नहीं है, लेकिन छवि वर्गीकरण के कई दृष्टिकोणों को प्रतिष्ठित किया जा सकता है:

• विवरण के आधार पर वस्तु मॉडलिंग के तरीके;
• "शब्दों के बैग" के तरीके;
• स्थानिक पिरामिड मिलान के तरीके।

इस लेख में प्रस्तुत कार्यान्वयन के लिए, लेखकों ने "शब्द बैग" एल्गोरिथ्म को चुना, निम्नलिखित कारण दिए गए हैं:

• विवरण और मिलान स्थानिक पिरामिड के आधार पर मॉडलिंग के लिए एल्गोरिदम अंतरिक्ष में वर्णनकर्ताओं की स्थिति और उनके सापेक्ष स्थिति के प्रति संवेदनशील हैं। तरीकों की ये कक्षाएं एक छवि में वस्तुओं का पता लगाने के कार्यों में प्रभावी हैं; हालांकि, इनपुट डेटा की विशिष्ट विशेषताओं के कारण, वे छवि वर्गीकरण की समस्या के लिए खराब रूप से लागू हैं।
• "शब्दों का बैग" एल्गोरिथ्म ज्ञान के अन्य क्षेत्रों में व्यापक रूप से परीक्षण किया गया है, यह अच्छे परिणाम दिखाता है और लागू करने के लिए काफी सरल है।

ट्रैफ़िक से प्रक्षेपित वीडियो स्ट्रीम का विश्लेषण करने के लिए, हमने भोले बेयस क्लासिफ़ायर [25] का उपयोग किया। यह अक्सर शब्द बैग मॉडल का उपयोग करके ग्रंथों को वर्गीकृत करने के लिए उपयोग किया जाता है। इस मामले में, दृष्टिकोण पाठ विश्लेषण के समान है, शब्दों के बजाय केवल विवरणक का उपयोग किया जाता है। इस क्लासिफायर का काम दो भागों में विभाजित किया जा सकता है: प्रशिक्षण चरण और पूर्वानुमान चरण।

सीखने का चरण । प्रत्येक फ्रेम (छवि) को डिस्क्रिप्टर सर्च एल्गोरिदम के इनपुट पर खिलाया जाता है, इस मामले में, स्केल-इनवेरिएंट फ़ीचर ट्रांसफ़ॉर्म (SIFT) [26]। उसके बाद, फ़्रेम के बीच एकवचन बिंदुओं के सहसंबंध का कार्य किया जाता है। ऑब्जेक्ट की छवि में एक विशेष बिंदु एक ऐसा बिंदु है जो इस ऑब्जेक्ट की अन्य छवियों पर दिखाई देने की संभावना है।

विभिन्न छवियों में किसी ऑब्जेक्ट के विशेष बिंदुओं की तुलना करने की समस्या को हल करने के लिए, एक डिस्क्रिप्टर का उपयोग किया जाता है। एक विवरणक एक डेटा संरचना है, एक विलक्षण बिंदु के लिए एक पहचानकर्ता जो इसे बाकी से अलग करता है। यह वस्तु की छवि के परिवर्तनों के संबंध में अपरिवर्तनीय हो सकता है या नहीं भी हो सकता है। हमारे मामले में, वर्णनकर्ता परिप्रेक्ष्य परिवर्तनों के संबंध में अपरिवर्तनीय है, अर्थात् स्केलिंग। हैंडल आपको एक छवि में किसी वस्तु के फीचर बिंदु की तुलना इस वस्तु की दूसरी छवि में उसी सुविधा बिंदु से करने की अनुमति देता है।

फिर, सभी छवियों से प्राप्त विवरणकों के समूह को k-mean क्लस्टरिंग विधि [26, 27] का उपयोग करके समूहों में क्रमबद्ध किया जाता है। यह वर्गीकरणकर्ता को प्रशिक्षित करने के लिए किया जाता है, जो इस बात पर निष्कर्ष देगा कि क्या छवि एक असामान्य व्यवहार का प्रतिनिधित्व करती है।

चित्र वर्णनकर्ता क्लासिफायर के प्रशिक्षण के लिए चरण-दर-चरण एल्गोरिथम निम्नलिखित है:

चरण 1 हमले के साथ और बिना सेट के सभी डिस्क्रिप्टर निकालें।
चरण 2 N क्लस्टर्स में k- साधन विधि का उपयोग करके सभी डिस्क्रिप्टर को क्लस्टर करना।
चरण 3 मैट्रिक्स A (m, k) की गणना, जहाँ m छवियों की संख्या है और k समूहों की संख्या है। तत्व (i; j) i-th छवि पर j-th क्लस्टर से कितनी बार डिस्क्रिप्टर प्रदर्शित करता है, इसका मान संग्रहीत करेगा। ऐसी मैट्रिक्स को घटना की आवृत्ति का मैट्रिक्स कहा जाएगा।
चरण 4 सूत्र tf idf [28] द्वारा विवरणकर्ताओं के वजन की गणना:



यहाँ tf ("टर्म फ़्रीक्वेंसी") इस इमेज में डिस्क्रिप्टर उपस्थिति आवृत्ति है और इसे परिभाषित किया गया है



जहाँ t डिस्क्रिप्टर है, k इमेज में डिस्क्रिप्टर की संख्या है, nt इमेज में टी डिस्क्रिप्टर की संख्या है। इसके अलावा, idf ("उलटा डॉक्यूमेंट फ़्रीक्वेंसी") सैंपल में दिए गए डिस्क्रिप्टर के साथ उलटा इमेज फ़्रीक्वेंसी है और इसे इस प्रकार परिभाषित किया गया है।



जहाँ D नमूने में दिए गए डिस्क्रिप्टर के साथ छवियों की संख्या है, {di t D, t} di} D में छवियों की संख्या है, जहाँ t nt में है! = 0।
चरण 5 मैट्रिक्स ए में डिस्क्रिप्टर के बजाय संबंधित भार को प्रतिस्थापित करना।
चरण 6 वर्गीकरण। हम भोले Bayes के एम्पलीफायरों (adaboost) का उपयोग करते हैं।
चरण 7 प्रशिक्षित मॉडल को एक फ़ाइल में सहेजना।
चरण 8 यह प्रशिक्षण चरण का समापन करता है।

भविष्यवाणी का चरण । प्रशिक्षण चरण और पूर्वानुमान चरण के बीच अंतर छोटे हैं: वर्णनकर्ता छवि से निकाले जाते हैं और मौजूदा समूहों के साथ सहसंबद्ध होते हैं। इस अनुपात के आधार पर, एक वेक्टर का निर्माण किया जाता है। इस वेक्टर का प्रत्येक तत्व छवि में इस समूह से वर्णनकर्ताओं की उपस्थिति की आवृत्ति है। इस वेक्टर का विश्लेषण करके, क्लासिफायर एक निश्चित संभावना के साथ हमले का पूर्वानुमान लगा सकता है।

क्लासिफायरियर की एक जोड़ी के आधार पर एक सामान्य पूर्वानुमान एल्गोरिथ्म नीचे प्रस्तुत किया गया है।

चरण 1 छवि से सभी डिस्क्रिप्टर निकालें;
चरण 2 विवरणकर्ताओं के परिणामस्वरूप सेट को क्लस्टर करना;
चरण 3 वेक्टर की गणना [1, के];
चरण 4 ऊपर प्रस्तुत किए गए सूत्र tf idf के अनुसार प्रत्येक विवरणक के लिए वजन की गणना;
चरण 5 अपने वजन के साथ वैक्टर में घटना की आवृत्ति को बदलना;
चरण 6 पहले से प्रशिक्षित क्लासिफायरियर के अनुसार परिणामी वेक्टर का वर्गीकरण;
चरण 7 क्लासिफायरियर के पूर्वानुमान के आधार पर मनाया नेटवर्क में विसंगतियों की उपस्थिति के बारे में निष्कर्ष।

4. दक्षता का पता लगाने का मूल्यांकन

प्रस्तावित विधि की प्रभावशीलता का मूल्यांकन करने का कार्य प्रयोगात्मक रूप से हल किया गया था। प्रयोग में, प्रयोगात्मक रूप से स्थापित कई मापदंडों का उपयोग किया गया था। क्लस्टरिंग के लिए, 1000 समूहों का उपयोग किया गया था। उत्पन्न छवियों में 1000 से 1000 पिक्सेल थे।

4.1 प्रायोगिक डेटा सेट

प्रयोगों के लिए, स्थापना को इकट्ठा किया गया था। इसमें एक संचार चैनल द्वारा जुड़े तीन उपकरण शामिल हैं। स्थापना ब्लॉक आरेख चित्र 2 में दिखाया गया है।


चित्र 1

SRV डिवाइस हमलावर सर्वर (बाद में लक्ष्य सर्वर के रूप में संदर्भित) के रूप में कार्य करता है। SRV कोड के साथ तालिका 1 में सूचीबद्ध उपकरण क्रमिक रूप से लक्ष्य सर्वर के रूप में उपयोग किए गए थे। दूसरा एक नेटवर्क डिवाइस है जिसे नेटवर्क पैकेट प्रसारित करने के लिए डिज़ाइन किया गया है। डिवाइस की विशेषताओं को एनडी -1 कोड के तहत तालिका 1 में दिखाया गया है।

तालिका 1. नेटवर्क डिवाइस विनिर्देश



लक्ष्य सर्वरों पर, नेटवर्क पैकेट बाद में डिस्कवरी एल्गोरिदम में उपयोग के लिए एक पीसीएपी फ़ाइल में लिखे गए थे। इस कार्य के लिए tcpdump उपयोगिता का उपयोग किया गया था। डेटासेट को तालिका 2 में वर्णित किया गया है।

तालिका 2. इंटरसेप्टेड नेटवर्क पैकेट के सेट



निम्न सॉफ्टवेयर का उपयोग लक्ष्य सर्वरों पर किया गया था: लिनक्स वितरण, नगीनक्स 1.10.3 वेब सर्वर, पोस्टग्रेजेक 9.6 डीबीएमएस। सिस्टम बूट का अनुकरण करने के लिए एक विशेष वेब एप्लिकेशन लिखा गया था। एप्लिकेशन बड़ी मात्रा में डेटा के साथ डेटाबेस का अनुरोध करता है। अनुरोध को विभिन्न कैशिंग के उपयोग को कम करने के लिए डिज़ाइन किया गया है। प्रयोगों के दौरान, इस वेब एप्लिकेशन के लिए अनुरोध उत्पन्न हुए थे।
अपाचे बेंचमार्क उपयोगिता का उपयोग करके तीसरे ग्राहक डिवाइस (तालिका 1) से हमला किया गया था। हमले और बाकी समय के दौरान पृष्ठभूमि यातायात की संरचना तालिका 3 में प्रस्तुत की गई है।

तालिका 3. पृष्ठभूमि ट्रैफ़िक फ़ंक्शंस



एक हमले के रूप में, हम HTTP GET बाढ़ के वितरित DoS संस्करण को लागू करते हैं। इस तरह के एक हमले, वास्तव में, एक सीडी -1 डिवाइस से इस मामले में, जीईटी अनुरोधों की एक निरंतर स्ट्रीम की पीढ़ी है। इसे उत्पन्न करने के लिए, हमने अपाचे-बर्तन के पैकेज से ab यूटिलिटी का उपयोग किया। परिणामस्वरूप, नेटवर्क की स्थिति के बारे में जानकारी वाली फाइलें प्राप्त हुईं। इन फ़ाइलों की मुख्य विशेषताओं को तालिका 2 में प्रस्तुत किया गया है। हमले के परिदृश्य के मुख्य पैरामीटर तालिका 4 में दिखाए गए हैं।
प्राप्त नेटवर्क ट्रैफ़िक डंप से, उत्पन्न छवियों के सेट टीडी # 1 और टीडी # 2 प्राप्त किए गए थे, जो प्रशिक्षण चरण में उपयोग किए गए थे। नमूना टीडी # 3 का उपयोग भविष्यवाणी चरण के लिए किया गया था। परीक्षण डेटा सेट का सारांश तालिका 5 में प्रस्तुत किया गया है।

4.2 प्रदर्शन मानदंड

इस अध्ययन के दौरान मुख्य मापदंडों का मूल्यांकन किया गया:

तालिका 4. एक DDoS हमले की विशेषताएं



तालिका 5. परीक्षण छवि सेट



a) DR (डिटेक्शन रेट) - कुल हमलों की संख्या के संबंध में पता लगाए गए हमलों की संख्या। यह पैरामीटर जितना अधिक होगा, ADS की दक्षता और गुणवत्ता उतनी ही अधिक होगी।

बी) एफपीआर (झूठी सकारात्मक दर) - "सामान्य" वस्तुओं की संख्या, गलती से "सामान्य" वस्तुओं की कुल संख्या के संबंध में एक हमले के रूप में वर्गीकृत किया गया है। यह पैरामीटर जितना कम होगा, विसंगति पहचान प्रणाली की दक्षता और गुणवत्ता उतनी ही अधिक होगी।

सी) सीआर (कॉम्प्लेक्स रेट) एक जटिल संकेतक है जो डीआर और एफपीआर मापदंडों के संयोजन को ध्यान में रखता है। चूंकि अध्ययन में डीआर और एफपीआर को मापदंडों के बराबर महत्व दिया गया था, इसलिए जटिल संकेतक की गणना निम्नानुसार की गई थी: सीआर = (डीआर + एफपीआर) / 2।
"असामान्य" के रूप में चिह्नित 1000 छवियों को क्लासिफायरियर को प्रस्तुत किया गया था। मान्यता परिणामों के आधार पर, प्रशिक्षण नमूने के आकार के आधार पर DR की गणना की गई। निम्नलिखित मान प्राप्त किए गए थे: टीडी # 1 डीआर = 9.5% और टीडी # 2 डीआर = 98.4% के लिए। इसके अलावा, छवियों का दूसरा भाग ("सामान्य") वर्गीकृत किया गया था। परिणाम के आधार पर, FPR की गणना की गई (TD # 1 FPR = 3.2% के लिए और TD # 2 FPR = 4.3% के लिए)। इस प्रकार, निम्नलिखित व्यापक प्रदर्शन संकेतक प्राप्त किए गए: टीडी # 1 सीआर = 53.15% और टीडी # 2 सीआर = 97.05% के लिए।

5. निष्कर्ष और भविष्य के अनुसंधान

प्रयोगात्मक परिणामों से यह देखा जाता है कि विसंगतियों का पता लगाने के लिए प्रस्तावित विधि हमलों का पता लगाने में उच्च परिणाम दिखाती है। उदाहरण के लिए, एक बड़े नमूने में, एक व्यापक प्रदर्शन संकेतक का मूल्य 97% तक पहुंच जाता है। हालाँकि, इस विधि में अनुप्रयोग की कुछ सीमाएँ हैं:

1. डीआर और एफपीआर के मूल्य प्रशिक्षण सेट के आकार के लिए एल्गोरिदम की संवेदनशीलता दिखाते हैं, जो मशीन एल्गोरिदम के लिए एक वैचारिक समस्या है। नमूना बढ़ाने से पहचान प्रदर्शन में सुधार होता है। हालांकि, किसी विशेष नेटवर्क के लिए पर्याप्त रूप से बड़े प्रशिक्षण सेट को लागू करना हमेशा संभव नहीं होता है।

2. विकसित एल्गोरिथ्म नियतात्मक है, एक ही छवि को हर बार उसी परिणाम के साथ वर्गीकृत किया जाता है।

3. अवधारणा की पुष्टि करने के लिए दृष्टिकोण के प्रभावशीलता संकेतक काफी अच्छे हैं, लेकिन झूठी सकारात्मक की संख्या भी बड़ी है, जो व्यावहारिक कार्यान्वयन में कठिनाइयों का कारण बन सकती है।

ऊपर बताई गई सीमा (बिंदु 3) को दूर करने के लिए, यह अनुभवहीन तंत्रिका नेटवर्क के लिए भोले बेयासियन क्लासिफायर को बदलने के लिए माना जाता है, जो कि लेखकों के अनुसार, विसंगति का पता लगाने वाले एल्गोरिथ्म की सटीकता को बढ़ाना चाहिए।


परंपरागत रूप से, हम आपकी टिप्पणियों की प्रतीक्षा कर रहे हैं और हम सभी को एक खुले दिन के लिए आमंत्रित करते हैं , जो अगले सोमवार को आयोजित किया जाएगा।