Approach to creating normal functioning profile of monitored objects for network anomalies detection

Alexei Valerievich Guirik,Georgiy Petrovich Zhigulin

doi:10.15622/sp.27.14

Abstract

An approach to creating normal functioning profiles (NFP) of monitored objects is considered. NFP creation is one of the key steps in solving problems of network anomalies detection. Common issues of NFP creation and ways of overcoming these issues are considered. Iteration methods, Shiskin–Eisenpress method in particular, are proposed as a mathematical tool for NFP creation procedure. Described NFP creation method is verified on empirical network monitoring data and suggested suitable for network anomalies detection.

Highlights

Described normal functioning profiles (NFP) creation method is verified on empirical network monitoring data and suggested suitable for network anomalies detection
Method proposed is suggested suitable for network anomalies detection since it can increase probability of anomaly detection and reduce the number of false alarms when used in intrusion detection system based on statistical analysis of network flows

Summary

ФУНКЦИОНИРОВАНИЯ ОБЪЕКТОВ МОНИТОРИНГА В ЗАДАЧАХ ОБНАРУЖЕНИЯ СЕТЕВЫХ АНОМАЛИЙ

Принципы формирования профиля нормального функционирования объектов мониторинга в задачах обнаружения сетевых аномалий. В статье предложен подход к формированию профилей нормального функционирования (ПНФ) объектов мониторинга, что является одним из этапов в задачах обнаружения сетевых аномалий. В настоящей работе рассматривается метод обнаружения аномалий во временных рядах показателей функционирования объектов мониторинга, суть которого состоит в следующем: 1. Если систематические компоненты временного ряда выделены правильно, что собственно и необходимо при построении трендовой модели, то остаточная компонента будет характеризоваться случайностью изменения значений, соответствием нормальному закону распределения, равенством нулю математического ожидания и независимостью значений уровней друг от друга, т.е. Чтобы можно было применить описанный выше метод обнаружения аномалий, необходимо построить профиль нормального функционирования показателя (например, скорости передачи данных). При построении ПНФ исходим из предположения, что в исторических данных ряда на обучающем наборе аномалий не содержится.

Up ij

SUMMARY