Une architecture semi-supervisée et adaptative pour le filtrage d'alarmes dans les systèmes de détection d'intrusions sur les réseaux - TEL - Thèses en ligne Accéder directement au contenu
Thèse Année : 2007

Une architecture semi-supervisée et adaptative pour le filtrage d'alarmes dans les systèmes de détection d'intrusions sur les réseaux

Résumé

We study the current limitations of systems processing alarms generated by network intrusion detection systems (NIDS ) and propose a new automatic approach that improves the filtering mechanism . Our main contributions are as follows: 1 . We have proposed an architecture of alarm filtering analyzing logs and NIDS alerts and trying to filter out false positives . 2 . We study the dynamic aspect of the proposed architecture . Processing real-time architecture poses several challenges in adapting this architecture in relation to changes that may occur over time . We have identified three problems to solve : (1) adapting the architecture towards the evolution of the monitored network, integration of new machinery, new routers , etc. , (2) adaptation of the architecture with respect to the emergence of new types of attacks and (3) adaptation of the architecture. with the appearance or sliding type behavior. To solve these problems , we use the concept of distance rejection proposed in pattern recognition and statistical hypothesis testing. All our proposals are implemented and led to experiments we describe throughout the document. These experiments use alarms generated by SNORT , an intrusion detection system based network - monitoring network of the Rectory of Rouen and is deployed in an operational environment . This is important for the validation of our architecture because it uses alarms from a real environment rather than a simulated environment or laboratory that may have significant limitations.
Nous étudions les limites actuelles des systèmes de traitement des alarmes générées par les systèmes de détection d'intrusion (NIDS) dans les réseaux et proposons une nouvelle approche automatique qui améliore le mécanisme de filtrage. Nos principales contributions se résument ainsi : 1. Proposition d'une architecture de filtrage : nous avons proposé une architecture de filtrage des alarmes qui analyse les journaux d'alertes d'un NIDS et essaye de filtrer les faux positifs. 2. Etude de l'évolutivité de cette architecture : dans cette phase, nous étudions l'aspect dynamique de l'architecture proposée. L'exploitation de l'architecture en temps réel pose plusieurs défis sur l'adaptation de cette architecture par rapport aux changements qui peuvent arriver au cours du temps. Nous avons distingué trois problème à résoudre : (1) adaptation de l'architecture vis à vis de l'évolution du réseau surveillé : intégration des nouvelles machines, des nouveaux routeurs, etc., (2) adaptation de l'architecture vis à vis de l'apparition de nouveaux types d'attaques et (3) adaptation de l'architecture avec l'apparition ou le glissement des comportements types. Pour résoudre ces problèmes, nous utilisons la notion de rejet en distance proposée en reconnaissance des formes et les tests d'hypothèses statistiques . Toutes nos propositions sont implémentées et ont donné lieu à des expérimentations que nous décrivons tout au long du document. Ces expériences utilisent des alarmes générées par SNORT, un système de détection des intrusions basé-réseau qui surveille le réseau du Rectorat de Rouen et qui est déployé dans un environnement opérationnel. Ce point est important pour la validation de notre architecture puisque elle utilise des alarmes issues d'un environnement réel plutôt qu'un environnement simulé ou de laboratoires qui peuvent avoir des limitations significatives.
Fichier principal
Vignette du fichier
These-Faour.pdf (2.33 Mo) Télécharger le fichier
Loading...

Dates et versions

tel-00917605 , version 1 (12-12-2013)

Identifiants

  • HAL Id : tel-00917605 , version 1

Citer

Ahmad Faour. Une architecture semi-supervisée et adaptative pour le filtrage d'alarmes dans les systèmes de détection d'intrusions sur les réseaux. Apprentissage [cs.LG]. INSA de Rouen, 2007. Français. ⟨NNT : ⟩. ⟨tel-00917605⟩
343 Consultations
652 Téléchargements

Partager

Gmail Facebook X LinkedIn More