Self-Learning Network Intrusion Detection

Konrad Rieck

Abstract: Dienste im Internet sind einer wachsenden Anzahl und Diversität von Angriffen ausgesetzt. Herkömmliche Instrumente der IT-Sicherheit sind ungeeignet, dieser Bedrohung langfristig entgegen zu wirken, da sie auf der manuellen Erstellung von Erkennungsmustern beruhen und keinen Schutz vor neuen und unbekannten Angriffen bieten. In diesem Artikel wird ein Rahmenwerk zur selbstlernenden Angriffserkennung vorgestellt, das es ermöglicht, unbekannte Angriffe gegen Netzwerkdienste automatisch zu erkennen. Das Rahmenwerk verbindet Konzepte der IT-Sicherheit und des maschinellen Lernens, um Nutzdaten der Dienste geometrisch zu analysieren und Angriffe als Ausreißer zu erkennen. Diese Fähigkeit kann empirisch bestätigt werden, wobei ein Prototyp eine Erkennung von 80–97% der unbekannten Angriffe mit weniger als 0,002% falschen Alarmen und einem Durchsatz von 26–60 Mbit/s erzielt.