کاربرد داده کاوی برای تشخیص نفوذ
امنیت سیستم‌ها و داده‌های رایانه‌ای ما دائماً در خطر است. رشد گسترده اینترنت و در دسترس بودن روزافزون ابزارها و ترفندها برای نفوذ و حمله به شبکه‌ها باعث شده است که تشخیص نفوذ و پیشگیری به یکی از اجزای حیاتی سیستم‌های شبکه تبدیل شود.
نفوذ (Intrusion)
دسترسی غیرمجاز توسط یک متجاوز شامل سرقت منابع ارزشمند و سوء استفاده از آن منابع است، به عنوان مثال. کرم ها و ویروس ها. تکنیک‌های جلوگیری از نفوذ مانند احراز هویت کاربر و اشتراک‌گذاری اطلاعات رمزگذاری‌شده وجود دارد که برای کار کردن کافی نیست زیرا سیستم روز به روز پیچیده‌تر می‌شود، بنابراین، ما به لایه‌ای از کنترل‌های امنیتی نیاز داریم.
مزاحم (Intruder)
این موجودیتی است که سعی می کند دسترسی غیرمجاز را از طریق یک سیستم یا یک شبکه به دست آورد. علاوه بر این، داده های موجود در آن سیستم به همراه عدم تعادل در محیط آن شبکه خراب می شود.
مزاحمان عمدتاً دو نوع هستند
- Masquerader (Intruder خارجی) – هیچ اختیاری برای استفاده از شبکه یا سیستم ندارد
- Misfeasor (Inside Intruder) – دسترسی مجاز به برنامه های کاربردی محدود
سیستم تشخیص نفوذ
سیستم تشخیص نفوذ دستگاه یا برنامه‌ای است که نشانه‌های غیرعادی را تشخیص می‌دهد و ترافیک را نظارت می‌کند و نتایج آن را به مدیر گزارش می‌دهد، اما نمی‌تواند برای جلوگیری از فعالیت‌های غیرعادی اقدامی انجام دهد. این سیستم از محرمانه بودن، یکپارچگی و در دسترس بودن داده ها و سیستم های اطلاعاتی در برابر حملات اینترنتی محافظت می کند. می بینیم که شبکه به صورت پویا گسترش یافته است، بنابراین احتمال خطرات و احتمال نفوذهای مخرب نیز افزایش می یابد.
انواع حملات شناسایی شده توسط سیستم های تشخیص نفوذ عمدتا:
- اسکن حملات
- حملات انکار سرویس (DOS).
- حملات نفوذی
سیستم پیشگیری از نفوذ
این اساساً توسعه‌ای از سیستم تشخیص نفوذ است که می‌تواند سیستم را در برابر فعالیت‌های مشکوک، ویروس‌ها و تهدیدات محافظت کند و به محض شناسایی هرگونه فعالیت ناخواسته، IPS نیز علیه آن فعالیت‌ها مانند بستن نقاط دسترسی و جلوگیری از فایروال‌ها اقدام می‌کند.
اکثر سیستم‌های تشخیص نفوذ و پیشگیری از تشخیص مبتنی بر امضا یا تشخیص مبتنی بر ناهنجاری استفاده می‌کنند.
۱- مبتنی بر امضا
سیستم مبتنی بر امضا از تعدادی کتابخانه از امضاهای حملات شناخته شده استفاده می کند و اگر امضا با الگو مطابقت داشته باشد، سیستم نفوذ را تشخیص دهد با مسدود کردن آدرس IP یا غیرفعال کردن دسترسی کاربر به برنامه، از آن جلوگیری می کند. این سیستم اساساً یک سیستم مبتنی بر الگو است که برای نظارت بر بسته‌های موجود در شبکه استفاده می‌شود و بسته‌ها را با پایگاه داده امضا از حملات موجود یا لیستی از الگوهای حمله مقایسه می‌کند و اگر امضا با الگو مطابقت داشته باشد، سیستم نفوذ و هشدار را تشخیص می‌دهد. به ادمین به عنوان مثال آنتی ویروس ها
مزیت
ارزش شناسایی فقط حملات شناخته شده را دارد.
معایب
- شناسایی حملات جدید یا ناشناخته انجام نشد.
- به روز رسانی منظم حملات جدید
۲- مبتنی بر ناهنجاری
سیستم مبتنی بر ناهنجاری منتظر هرگونه فعالیت غیرعادی است. اگر فعالیت شناسایی شود، سیستم بلافاصله ورود به میزبان هدف را مسدود می کند. این سیستم از یک الگوی پایه پیروی می‌کند، ابتدا سیستم را با یک خط پایه مناسب آموزش می‌دهیم و فعالیت را با آن خط پایه مقایسه می‌کنیم، اگر فردی از آن خط پایه عبور کند، به عنوان فعالیت مشکوک تلقی می‌شود و هشداری برای مدیر ایجاد می‌شود.
مزیت
توانایی شناسایی حملات ناشناخته
معایب
پیچیدگی بالاتر، گاهی اوقات تشخیص آن دشوار است و احتمال هشدارهای اشتباه وجود دارد.
همانطور که می دانیم داده کاوی سیستم استخراج الگوها از مجموعه داده های عظیم از طریق ترکیب تکنیک های هوش مصنوعی آمارگیر با مدیریت پایگاه داده است. در تشخیص نفوذ (ID) و دستگاه پیشگیری از نفوذ (IPS) مواردی را به خاطر می آوریم که ممکن است در داده کاوی برای سیستم های تشخیص نفوذ (IDS) و دستگاه های پیشگیری از نفوذ (IPS) استفاده شود.
چگونه داده کاوی به تشخیص و پیشگیری از نفوذ کمک می کند
فن‌آوری‌های شبکه مدرن به سطح بالایی از کنترل‌های امنیتی برای اطمینان از ارتباط امن و مطمئن اطلاعات بین کاربر و مشتری نیاز دارند. سیستم تشخیص نفوذ برای محافظت از سیستم پس از شکست فناوری های سنتی است. داده کاوی استخراج ویژگی های مناسب از حجم زیاد داده است. و از الگوریتم های یادگیری مختلف، یعنی تحت نظارت و بدون نظارت پشتیبانی می کند.
تشخیص نفوذ اساساً یک فرآیند داده محور است، بنابراین، IDS با کمک الگوریتم های داده کاوی از نفوذهای گذشته درس می گیرد و عملکرد را از طریق تجربه به همراه یافتن فعالیت های غیرعادی بهبود می بخشد. این به کاوش در افزایش زیاد پایگاه داده کمک می کند و تنها اطلاعات معتبر را با بهبود بخش بندی جمع آوری می کند و به سازمان ها در برنامه ریزی و صرفه جویی در زمان کمک می کند. کاربردهای مختلفی مانند تشخیص رفتارهای غیرعادی، کشف کلاهبرداری و سوء استفاده، فعالیت های تروریستی و بررسی جرایم از طریق کشف دروغ دارد.
در زیر فهرستی از مناطقی که فناوری داده کاوی را می توان برای تشخیص نفوذ انجام داد.
۱- استفاده از الگوریتم های داده کاوی برای توسعه یک مدل جدید برای IDS:
الگوریتم داده کاوی برای مدل IDS دارای نرخ بازده بالاتر و آلارم های کاذب کمتر است. الگوریتم های داده کاوی را می توان هم برای تشخیص مبتنی بر امضا و هم برای تشخیص مبتنی بر ناهنجاری استفاده کرد. در تشخیص مبتنی بر امضا، اطلاعات آموزشی به عنوان “عادی” یا “دخالت” طبقه بندی می شود. سپس می توان یک طبقه بندی کننده برای کشف نفوذهای تایید شده بدست آورد. تحقیقات انجام شده در این مکان شامل نرم افزار الگوریتم های شفاف سازی، استخراج قوانین انجمن و مدل سازی حساس به هزینه بوده است. تشخیص کاملاً مبتنی بر ناهنجاری، مدل‌هایی از رفتار عادی ایجاد می‌کند و به طور خودکار انحرافات عظیم را از آن تشخیص می‌دهد. روش‌ها شامل نرم‌افزار خوشه‌بندی، تحلیل پرت، و الگوریتم‌های کلاس و رویکردهای آماری است. استراتژی‌های مورد استفاده باید کارآمد و مقیاس‌پذیر باشند و بتوانند با اطلاعات جامعه با حجم، ابعاد و ناهمگونی بیش از حد مقابله کنند.
۲- تجزیه و تحلیل داده های جریان:
تجزیه و تحلیل داده های جریانی به معنی تجزیه و تحلیل داده ها به صورت پیوسته است، اما داده کاوی اساساً به دلیل محاسبه پیچیده و زمان پردازش بالا، بر روی داده های ثابت به جای جریان استفاده می شود. با توجه به ماهیت پویای نفوذها و حملات مخرب، انجام تشخیص نفوذ در محیط جریان رکوردها حیاتی تر است. علاوه بر این، یک رویداد به تنهایی می تواند عادی باشد، اما اگر به عنوان بخشی از یک سری فعالیت ها در نظر گرفته شود، مخرب در نظر گرفته شود. بنابراین، بسیار ضروری است که ببینیم با چه توالی از فعالیت‌ها به طور منظم با هم مواجه می‌شویم، الگوهای متوالی را پیدا کنیم و نقاط پرت را انتخاب کنیم. سایر استراتژی‌های داده‌کاوی برای مکان‌یابی خوشه‌های در حال تکامل و ساخت مدل‌های کلاس پویا در جریان‌های رکورد نیز برای تشخیص نفوذ بلادرنگ ضروری هستند.
۳- داده کاوی توزیع شده:
برای تجزیه و تحلیل داده‌های تصادفی که ذاتاً در پایگاه‌های داده مختلف توزیع می‌شوند، استفاده می‌شود، بنابراین یکپارچه‌سازی پردازش داده‌ها دشوار می‌شود. نفوذها ممکن است از مکان های متمایز متعددی راه اندازی شوند و بر بسیاری از مقاصد متمایز متمرکز شوند. استراتژی های داده کاوی توزیع شده را می توان برای بررسی داده های جامعه از مکان های متعدد شبکه برای شناسایی آن حملات توزیع شده مورد استفاده قرار داد.
۴- ابزارهای تجسم:
از این ابزارها برای نمایش داده ها در قالب نمودار استفاده می شود که به کاربر کمک می کند تا درک بصری از داده ها داشته باشد. این ابزار همچنین برای مشاهده هر گونه الگوی غیرعادی شناسایی شده استفاده می شود. چنین ابزارهایی ممکن است شامل قابلیت‌هایی برای مشاهده تداعی‌ها، الگوهای متمایز، خوشه‌ها و نقاط پرت باشد. ساختارهای تشخیص نفوذ باید در واقع یک رابط کاربری گرافیکی داشته باشند که به تحلیلگران ایمنی اجازه می دهد تا در مورد داده های شبکه یا نتایج تشخیص نفوذ سوالاتی را مطرح کنند.
برای خرید لایسنس نرم افزار Power BI ، می‌توانید از خدمات ما استفاده نموده و درخواست خود را از طریق فرم زیر ثبت نمایید.