Improving ids alerts to improve the quality of the network security by using data mining techniques

Abstract

Saldırı tespit sistemleri, şebeke güvenliğinin giderek önemli bir parçası haline geldi. Saldırı tespit sistemleri, yanlış kullanım ve anomali olmak üzere iki tip yaygın olarak kullanılır. Anormallik, iyi huylu trafik için bir model oluşturur; bunun dışında bir şey kötü niyetli etkinlik olarak işaretlenir. Şebeke trafiğinde desen veya bilinen dizeler (imzalar) için yanlış kullanımı, herhangi bir eşleşen trafik şüpheli olarak değerlendirilecektir. Bununla birlikte, genellikle normal ağ trafiği, imzalara karşı eşlemeler üretir ve büyük miktarlarda yanlış alarmlar yaratır.Veri madenciliği teknikleri, büyük bir veri kümesindeki kayıtlar arasındaki kalıpları veya ilişkileri araştırır. Frequent Itemset, sıklıkla oluşan öğeleri bulmak için oluşturulan bir uyarıda kullanılan bir veri madenciliği tekniğidir. Bu tezde, sıkça rastlanan alarmların öğelerini bulmak için Veri Madenciliği tekniği olarak İlişki Kuralları uygulanmıştır. Bu Öğeler setinden, her bir özelliğin tüm bu öğeleri için tehlike derecesini hesaplama yeteneği kazandıran ve her bir alarmın tehdit derecesini çıkaran kurallar oluşturuyoruz. Önerilen sistem DARPA '99 veri setleri kullanılarak değerlendirilmiş ve test edilmiştir.Bu tezde, yalancı pozitif oranı en aza indirgeyen yinelenen ve gereksiz IDS uyarılarını ortadan kaldıracak yeni bir sistem önerildi. Önerilen sistem, her fazın birkaç alt aşamadan oluştuğu iki ana faza dayanmaktadır. Birinci aşama, bu amaçla hazırlanmış yeni filtreleme algoritması uygulayarak çoğaltılan uyarıları kaldırır. İkinci aşama, sık öğeler algoritmalarını çıkaran ilişki kuralları uygulayarak gereksiz uyarıları ortadan kaldırarak yanlış uyarıları azaltmaktır. Önerilen sistem, beş haftalık DARPA 1999 veri seti kullanılarak değerlendirildi ve test edildi. Sonuçlar, önerilen sistemin yanlış pozitif uyarıları% 97.98 oranında önemli ölçüde düşürdüğünü göstermektedir. Bu sonuçlar, sistemin çok fazla miktarda yanlış alarm sızma algılama sistemini azaltma kabiliyetini göstermektedir.Anahtar Kelimeler: Ağ Güvenliği, Saldırı Tespit Sistemi, Yanlış Olumlu Uyarılar, Veri Madenciliği, Uyarı Değerlendirmesi, Tehlike Dereceleri Uyarıları.

Intrusion-detection systems have become an increasingly important part of network security. Two types of intrusion detection systems are more common used, misuse and anomaly. Anomaly build a model of what is benign traffic, anything deviating from this will be flagged as malicious activity. Misuse search for pattern or known strings (signatures) within network traffic, any matching traffic will be considered suspicious. However, often normal network traffic produce matches against signatures, creating large amounts of false alarms.Data mining techniques looks for patterns or relations between records in a large data set. Frequent Itemset is a data mining technique to find frequently occurring items, in an alert generated. In this thesis applied Association Rules as data mining technique to find items of frequently occurring alarms. From these Itemsets we create rules, which provide ability to calculate the threat degree for all these items of each attribute and then extracts the threat degree of each alarms. The proposed system have been evaluated and tested by using DARPA '99 datasets.In this thesis, proposed a new system to eliminate the duplicate and redundant IDSs alert which result in minimizing the false positive rate. The proposed system is based on two major phases which each phase consists of several sub-phases. The first phase removes duplicated alerts by apply new filtering algorithm prepared for this purpose. The second phase is to reduce false alerts by eliminating the redundant alerts by apply association rules mining frequent itemsets algorithms. The proposed system is evaluated and tested by using five weeks of DARPA 1999 dataset. The results show that the proposed system significantly reduces the false positive alerts by 97.98%. These results demonstrate the system's high ability to reduce very large amounts of false alarms of intrusion detection systems.Keywords: Network Security, Intrusion Detection System, False Positive Alerts, Data Mining, Alert Evaluation, Threat Degree of Alerts.