Malicious user input detection on web-based attacks with the negative selection algorithm

Abstract

Siber güvenlik alanında saldırıları tespit etme ve önleme için bir çok çalışma yapılmaktadır. Bir kurumun sunucularında veya uygulamalarında var olan bir açıklığın istismar edilmesi yıkıcı sonuçlar doğurabilmektedir. Saldırgan bir uygulamanın kullanıcılarının kişisel verilerine erişim sağlayabilir, veri tabanı kayıtlarını çalabilir veya sunucuları tamamen ele geçirebilir. Web uygulamalarının başarılı olarak korunması için gelen kullanıcı girdilerinin geçerli veya zararlı olarak ayırımının yapılması gerekmektedir. İnsan Bağışıklık Sisteminden(IBS) ilham alınarak bir çok arıştırma yapılmış ve IBS'nin patojenlerden korunmak için gösterdiği davranış saldırı tespit sistemlerine uyarlanmıştır. T-hücreleri bağışıklık sistemindeki lenfosit türlerinden biridir. Vücut içerisinde T-hücreleri oluşturulurken kullanılan Negatif Seçilim süreci Yapay Bağışıklık Sistemi(YBS) içerisinde tanımlanmıştır. T-hücrelerinin yeteneklerinden olan kendi/yabancı ayrımı, bilgisayar ortamında veya bir bilgisayar ağında bulunan anormal durumların tespit edilmesi için yararlı görülmüş ve bu alan üzerinde çalışmalar yürütülmüştür. Bu tez, HTTP GET trafiği üzerinde taşınan ve kullanıcının istemci tarafından gönderdiği parametrelerdeki zararlı aktivitelerin tespit edilmesi için Negatif Seçilim Algoritması'nı kullanmaktadır. Tespit işlemi çeşitli uzunluklardaki dizge değerleri kullanılarak yapılmaktadır. Bu dizgeler oluşturulurken eğitim veri setinden oluşturulmuş n-gram dizgeleri kullanılmaktadır. Kaç n-gram dizgesinin aynı anda kullanılacağının belirlenmesi için Poisson Dağılımı kullanılmıştır. Tespit oranları, her bir tespit edici dizgenin oluşturulabilmesi için gerekli deneme sayıları, oluşturulan dizgelerin uzunlukları, dizgilerin bireysel tespit başarımları ve belirli bir zaman içerisinde kaç dizgenin oluşturulabileceği çalışma içerisinde gözlemlenmiş ve sunulmuştur.

In the cyber security domain, detection and prevention of intrusions is a crucial task. Intrusion attempts exploiting vulnerabilities in an organization's servers or applications may lead to devastating consequences. The malicious actor may obtain sensitive information from the application, seize database records or take over the servers completely. While protecting web applications/services, discrimination of legitimate user inputs from malicious payloads must be done. Taking inspiration from the Human Immune System (HIS), numerous research studies have been conducted, where the HIS' behavior while protecting the body from the malicious pathogens is applied to the problem of intrusion detection. The T-cell is one of the lymphocytes that form the human immune system. The study of Artificial Immune Systems (AIS), applies the self/non-self discrimination of T-cells to computational discrimination problems. The ability to discriminate self (safe) from non-self (malicious) is used for the detection of any malicious activity in a computer, or a computer network. The AIS model of interest in this thesis is Negative Selection. Negative Selection Algorithm is applied to detect malicious user input that is submitted in HTTP GET parameters. Detection is done through detector strings with varying lengths. Detectors are constructed with randomly chosen n-grams generated from the training dataset. The number of n-grams required to form a detector is sampled from the Poisson distribution. Detection rates, number of attempts needed for generating a single detector, average detection rates for each detector, the lengths of the detectors and the number of detectors that can be generated over a course of time are calculated and presented.