USING ENTROPY SPACES AND MIXTURES OF GAUSSIAN DISTRIBUTIONS TO CHARACTERIZE TRAFFIC ANOMALIES

Abstract

En este artículo, se presenta una técnica para detectar el tráfico de comportamiento anómalo en una red informática. El método de espacio de entropía se basa en un espacio 3D construido en un nivel de paquete de flujo. El conjunto completo de puntos obtenidos en el espacio 3D se puede ver como una nube de datos. Cada punto 3D en el espacio es un valor de los clústeres obtenidos para cada ranura del tráfico de red. Las características seleccionadas para el conjunto de puntos se realizan aplicando el Reconocimiento de Patrones, el Análisis de Componentes Principales y la Estimación de la Densidad del Núcleo. En la siguiente etapa, el tráfico de red se puede modelar mediante el uso de Mezclas Gaussianas y Distribuciones Generalizadas Extremas, que definen el comportamiento de cada característica seleccionada. Al integrar este modelo en un sistema de detección de intrusiones basado en anomalías, el tráfico de comportamiento anómalo se puede detectar de manera fácil y temprana. La efectividad y viabilidad de este modelo se probó en una red de área local de un campus.