مبتدی (مناسب برای درک مفهوم کلی مطلب) 

4. کار پیشنهاد شده
در طول چند سال گذشته تعداد بیشتری از کارهای تحقیقاتی تکنیک های داده کاوی را به اشکال مختلفی اعمال کرده اند. در کار پیشنهادی، ما آنها را در سیستم تشخیص نفوذ پذیرفته ایم. شکل 1 معماری کار پیشنهادی را نشان می دهد. انتخاب ویژگی های مهم اولین گام برای تشخیص نفوذ است. انتخاب ویژگی فرآیند انتخاب زیر مجموعه ای از ویژگی های اصلی با توجه به معیارهای خاص است و برای داده هایی با ابعاد بالاتر اهمیت دارد. اجازه دهید F مجموعه ای از ویژگی های دارای تعداد “n” باشد. زیر مجموعه ای از ویژگی های پیچیده، 2n-1 است. مجموعه ای از زیر مجموعه های ویژگی به عنوان S مشخص شده و توسط:
که در اینجا n = 41 در مجموعه داده KDD.
تعداد زیر مجموعه ها بسیار بزرگ و جامع است. کار با تمام زیر مجموعه ها و گرفتن راه حل های شمارنده فراتر از راه حل عملی است و از این رو استراتژی های مختلف باید اقتباس شوند. الگوریتم برای انتخاب ویژگی می تواند به دو دسته تقسیم شود: انتخاب ویژگی های مبتنی بر فیلتر و انتخاب ویژگی های مبتنی بر پوشش [17]. الگوریتم firefly اکتشافی که ابتدا توسط Xin-She Yang توسعه یافت [25] و در رویکرد پوشش قرار گرفته است که تاکنون در هیچ یک از کارهای موجود در NIDS مورد توجه قرار نگرفته است. ساختن ویژگی های کمتر باعث بهبود کارایی تشخیص نفوذ شبکه می شود. اگرچه هر کار بر روی IDS با مجموعه داده مبنا تمرکز داشت، وی وانگ و همکاران [ ۱۹ ] این ویژگی ها را از محیط زمان واقعی ساخته و ویژگی های را با استفاده از آنالیزKNN و اصل مولفه های اصلی طبقه بندی کردند.

.A انتخاب ویژگی مبتنی بر فیلتر
ویژگی ها بر اساس ویژگی های کلی داده های آموزشی بدون تکیه بر الگوریتم های داده کاوی ارزیابی می شوند. این زیرمجموعه را با محتوای اطلاعات خود یا با اطلاعات متقابل یا با افزایش اطلاعات ارزیابی می کند. ما این ویژگی را با بزرگترین اطلاعات متقابل (MI) انتخاب کرده ایم. اطلاعات متقابل دو متغیر تصادفی با استفاده از آنتروپی محاسبه می شود که قادر به تعیین عدم قطعیت متغیرهای تصادفی و مقادیر اطلاعات به اشتراک گذاشته شده توسط آنها می باشد [24].

.Bانتخاب ویژگی های مبتنی بر پوشش
از یک طبقه بندی کننده برای ارزیابی زیرمجموعه ای از ویژگی ها با دقت پیش بینی آن ها استفاده می کند (بر روی داده های آزمون). مقاله بررسی شده توسط Monowar و همکاران (13) در مورد بسیاری از روش های جستجو برای بهترین زیر مجموعه، که در آن یکی از روش ها انتخاب ویژگی های مبتنی بر پوشش است، مورد بحث است. در کار پیشنهادی ما، الگوریتم Firefly اطلاعات متقابل (MIFA) به عنوان یک استراتژی انتخاب ویژگی در انتخاب ویژگی پوشش با استفاده از C۴ ۵ [ ۸ ] و شبکه بیزین (۵)به عنوان یک طبقه بندی کننده انتخاب شده است. شکل 3، روش انتخاب ویژگی مبتنی بر پوشش را نشان می دهد.
به طور کلی، دو نوع الگوریتم تصادفی وجود دارد: اکتشافی و فرااکتشافی. اکتشافی به معنی “یافتن” یا “کشف توسط آزمون و خطا” و فرا اکتشافی، نسخه بهبود یافته الگوریتم اکتشافی و firefly است که در اصل توسط ژین جیانگ یانگ توسعه داده شد [ ۲۵ ]، که در آن فرض می شود fireflies با وجود خود به یکدیگر جذب می شوند. تابع هدف هر مساله بهینه سازی را می توان در وجود یک firefly ترسیم کرد.
در الگوریتم firefly دو مسئله مهم وجود دارد: تنوع روشنایی و فرمول جاذبیت. بنابراین جاذبیت بین دو firefly i و j با توجه به فاصله متفاوت است که با فاصله از منبع آن کاهش می یابد. یک عامل دیگر ضریب جذب به دلیل رسانه ای است که بر جاذبیت تاثیر می گذارد. از این رو روشنایی یک firefly در شعاع (r) از یک firefly با منبع روشنایی B بصورت زیر است: در کار پیشنهادی، تعداد ابعاد (D) 41 است که نشان دهنده تعداد کل ویژگی های مربوط به تشخیص نفوذ شبکه است. پیچیدگی انتخاب ویژگی ها 2D است، که نوعی از چند جمله ای غیر قطعی است. از این رو نیاز به انتخاب ویژگی های موثر برای کاهش پیچیدگی محاسبات و ذخیره سازی برای استقرار زمان واقعی وجود دارد. شبه کد برای انتخاب ویژگی های مبتنی بر اطلاعات متقابل و الگوریتم firefly به NIDS داده شده است در الگوریتم ارائه شده است.
در این کار برای ارزیابی انتخاب ویژگی، از C4.5 و شبکه بیزین استفاده شده است. هر firefly به عنوان یک بردار دودویی با تعداد زیادی از ویژگی های D نمایش داده می شود و توسط vi = (vi1، vi2، vi3، vid …، viD)، i = 1 … n مشخص می شود که در آن ‘n’ تعداد firefly است. هر عنصر vi به 0 یا 1 محدود می شود که نشان می دهد که آیا این ویژگی ترافیک انتخاب شده است یا نه. به عبارت دیگر، هر firefly vi به عنوان یک نقطه در فضای بردار D بعدی قرار می گیرد.
زیر مجموعه ای از ویژگی های (41 ویژگی) توسط ترکیب های مختلف از حضور 0 یا 1 در مجموعه ویژگی های نشان داده شده است.
هر firefly در یک جهت در فضای جستجو حرکت می کند تا زیرمجموعه ویژگی بهینه را بر اساس دقت مدل طبقه بندی با زیر مجموعه ای از ویژگی های انتخاب شده را پیدا کند. دقت ارزیابی کننده (مدل طبقه بندی) شامل ویژگی انتخاب شده به عنوان یک تابع هدف یا وجود firefly در نظر گرفته می شود. Firefly با استفاده از معادله دیفرانسیل،از دقت روشنی کمتری به دقت روشنایی بالاتر حرکت خواهد کرد Eq.6 و فاصله بین دو Firefly با استفاده از معادل 7 محاسبه می شود. تعدادی از ویژگی های حاصل از الگوریتم Firefly متفاوت است. برای داشتن تعدادی از ویژگی های ثابت برای اجرای موثر در الگوریتم Firefly مبتنی بر اطلاعات متقابل (MIFA)، استراتژی انطباقی در کار فعلی پیشنهاد شده است که نوآوری کار پیشنهادی در NIDS است. این کنترل فرآیند اضافه کردن یا حذف ویژگی های حاصل توسط الگوریتم Firefly است که تعداد مشخصی از ویژگی ها را ایجاد می کند. Long Zhang et.al [28] در انتخاب ویژگی ها با استفاده از الگوریتم firefly برای تعیین داده های مختلف معیار بدون اصلاح تعدادی از ویژگی های مورد نیاز انتخاب شد. در کار پیشنهادی، تعداد ویژگی های انتخاب شده در k ثابت است. اگر تعداد حاصل از ویژگی ها | vd == 1 | می گویند “m” کمتر از k است و سپس (k-m) تعداد ویژگی های باقی مانده به آن بر اساس اطلاعات متقابل (MI) از ویژگی های انتخاب نشده اضافه شده است. آن m بزرگتر از k است، MI برای ویژگی های حاصل محاسبه شده و (m-k) تعداد ویژگی های با کمترین MI حذف می شوند. این استراتژی به عنوان استراتژی سازگاری مبتنی بر اطلاعات متقابل (MIAS) معنا می یابد.
موقعیت i firefly در MIFA از قانون به روز شده در معادله (8) استفاده می کند.
در کار پیشنهادی، سه نوع مختلف استراتژی انتخاب ویژگی به شرح زیر است:
• ویژگی مجموعه بر اساس اطلاعات متقابل (S1)
• مجموعه ویژگی های به دست آمده از روش پوشش شده MIFA با C4.5 به عنوان ارزیاب (S2)
• مجموعه ویژگی های به دست آمده از روش پوشش شده MIFA با شبکه بیزی به عنوان ارزیاب (S3)
رأی مبتنی بر انتخاب ویژگی ها از این مجموعه ویژگی ها (یکی از ویژگی های این سه مجموعه انتخاب شده است که در حداقل دو مجموعه موجود است) همانطور که در معادله (9) مشاهده می شود
مجموعه ای از ویژگی های نهایی حاصل از آن به عنوان ورودی به طبقه بندی C4.5 استفاده می شود.

مبتدی (مناسب برای درک مفهوم کلی مطلب) 

3. IIDPS
در این بخش، در ابتدا چارچوب IIDPS را معرفی کرده و مولفه های IIDPS را به تفصیل تشریح می نماییم. دو الگوریتم نیز برای تولید یک فایل عادت کاربر و شناسایی یک متجاوز داخلی ارائه می شوند

A. چارچوب سیستم
همان طور که در شکل 1 نشان داده شده، IIDPS متشکل از یک ناظر و فیلتر SC ، یک سرور کاوش، یک سرور شناسایی، یک شبکه ی محاسباتی محلی و سه مخزن است. لازم به ذکر است که این مخازن، فایل های ثبت وقایع کاربر، پروفایل های کاربر و پروفایل متهاجم هستند. فیلتر و ناظر SC به عنوان یک ماژول قابل بارگذاری قرار داده شده در هسته ی سیستم در نظر گرفته شده است و SCs هایی که به هسته ارسال شده اند را جمع آوری کرده و به شکل (uid,pid,SC) در سیستم محافظت شده ذخیره می نماید. Uid، pid و SC به ترتیب ID کاربر، پردازش ID و SC c بوسیله ی کاربر اساسی ارسال شده است ( ). همچنین ورودی های کاربر را در فایل ثبت وقایع کاربر که فایلی برای نگهداری SCs های ارسالی از طرف کاربرِ دنبال کننده ی ترتیب ارسال شده اش است، ذخیرهمی نماید. سرور کاوش، داده ی ثبت وقایع را با روش های داده کاوی تحلیل می کند تا عادات استفاده از کامپیوتر کاربر را به عنوان الگوهای رفتار کاربر شناسایی نماید. سرور شناسایی، الگوهای رفتارهای کاربران را با الگوهای SC که در پروفایل متهاجم جمع شده اند (الگوهای تهاجم) و الگوهای جمع شده در پروفایل کاربر مقایسه می کند تا به ترتیب رفتارهای مخرب را شناسایی کرده و بهنگام مشخص کند که مهاجم واقعی کیست. هنگامی که یک تهاجم شناسایی می شود، سرور شناسایی به فیلتر و ناظر SC اعلام می کند تا کار بر را از سیستم حفاظت شده مجزا کند. هدف این کار جلوگیری از مهاجم است تا پیوسته به سیستم حمله نکند.
هر دو سرور شناسایی و کاوش روی شبکه ی کحاسباتی محلی راه اندازی می شوند تا سرعت شناسایی برخط IIDPS و کاوش را افزایش داده و قابلیت های کاوش و شناسایی ان را تقویت نماید. اگر یک کاربر با استفاده از الگوی ورود به سیستم فرد دیگری، به سیستم وارد شده باشد، IIDPS با محاسبه ی امتیازت تشابه بین ورودی های کنونی کاربر (SCs) و الگوهای رفتار ذخیره شده در پروفایل های کاربرِ کاربران مختلف، تشخیص می دهد که کاربر اساسی چه کسی است. SCs جمع آوری شده در لیست SC کلاس محدود به عنوان مولفه ی کلیدیِ فیلتر و ناظر SC، SCs هستند که برای استفاده شدن بوسیله ی کلاس ها/ گروه ها ی محتلفی از کاربران در سیستم اساسی ممنوع گردیده اند. برای مثال یک منشی نمی تواند از برخی از مزایای خاص SCs بهره ببرد بنابراین، دستوراتی که این SCs را تولید می کند، برای استفاده ی منشی ها ممنوع خواهد شد.

B. فیلتر و ناظر SC
SC در حقیقت یک واسط بین کاربرد کاربر و خدمات ایجاد شده بوسیله ی هسته است. به طور کلی، مقدار بسیار زیادی از SCs در زمان اجرای کار (برای مثال یک فعالیت یا پردازش) تولید می شوند. برای مثال، زمانی که یک کاربر رمز عبور خود را بوسیله ی ارائه کردن یک دستور برنامه ی واسط “رمز عبور” به سیستم در حال کار لینوکس تغییر داده باشد، تا 2916 SCs از جمله بازکردن ()، بستن ()، خواندن()، نوشتن() و غیره تولید می شود. بنابراین، نظارت همه ی SCs به طور همزمان برای یک سیستم دشوار است، خصوصا در زمانی که کاربران زیادی برنامه هایشان را اجرا می کنند. به عنوان یک نتیجه، نیاز داریم تا برخی از SCs های ایمنی که مکررا استفاده می شوند را فیلتر کنیم.
برای فهمیدن این مسئله که کدام SCs ، موارد تولید شده ی معمولی بوسیله ی دستور برنامه ی رابط می باشند، مدل استاتیکِ تناوب شرط-تناوب معکوس سند (TF-IDF) استفاده می شود تا اهمیت SCs جداشده ای که در فایل ثبت وقایع کاربر جمع شده اند را تحلیل نماید. رابطه ی بین یک شرط و یک سند در حوزه ی بازیابی اطلاعات همانند رابطه ی بین Sctiو دستور (برای مثال j که ti را تولید می کند) است. تناوب شرط (TF) به کار گرفته شده برای اندازه گیری وزن تناوب یک SC تولید شده بوسیله ی j به صورت زیر تعریف می شود:

که تعداد دفعاتی است که ti در زمان اجرای j ارسال می شود، h تعداد SCs مختلفِ تولید شده در زمان اجرای j است و مقسوم علیه تعداد دفعاتی که همه ی این SCs ارسال می شوند را جمع می کند. تناوب معکوس سند (IDF)، معیار اهمیت ti در میان همه ی دستورات برنامه ی رابط در نظر گرفته شده، به صورت زیر تعریف می شود
که (عدد اصلی D) تعداد کل دستورات برنامه ی واسط در مجموعه ی در نظر گرفته شده است و مجموعه ی دستورات برنامه ی رابط dj می باشد که در طول اجرایش در هر عضو ti تولید می کند. وزن TD-IDF برای ti که بوسیله ی j تولید می شود به صورت زیر تعریف می گردد.
در واقع، وزن TF-IDF به عنوان یکی از روش های وزن دهی در داده کاوی و حوزه های بازیابی اطلاعات، متناسب با تعداد دفعاتی که یک SC در فایل ثبت وقایع کاربر ظاهر می شود، افزایش می یابد و درواقع می تواند اهمیت SC مشخصی را نشان دهد..
جدول 1 چهار دستور برنامه ی واسط متشکل از chmod، kill، date و rm و SC هایی که تولید کرده اند می باشد را لیست می کند. SC close(19) که در ردیف chmod ظاهر می شود، این موضوع که SC close() در زمانی که chmod اجرا می شود، برای مجموعا 19 دفعه تکرار می گردد را ارائه می کند.
بنابراین، وزن TF برای close() با استفاده از (1) درجایی که تعداد کل دفعاتی که SCs در هنگام اجرای chmod تولید می شود، 94 است، برابر با می باشد. وزن TF برای SC kill() در زمان اجرای دستور kill برابر با است.
وزن های IDF برای open() و unlinkat() براساس جدول 1 و (2) به ترتیب برابر با و هستند، از آنجایی که مورد دوم تنها بوسیله ی دستور rm تولید می شود به معنای در میان چهار دستور است، unlinkat() یک ارائه دهنده ی SC ی rm است و open() بوسیله ی هر چهار دستور مطرح می گردد، این مسئله نشان می دهد که این دستور هیچ کدام از این چهار دستور را ارائه نمی کند. وزن TF-IDF برای SCs باقی مانده می تواند در روشی مشابه محاسبه گردد.
همه ی داده های جمع آوری شده در IIDPS، بوسیله ی یک ابزار داده کاوی تحلیل می شوند (تحلیلگر iData) که قابلیت پیشبینی شدن کلاس و پیش بینی پذیری کلاس دو پارامتر استفاده شده در آن هستند. این دو پارامتر به ترتیب برای ارزیابی کلاس داخلی و وزن های کلاس داخلیِ یک ویژگی در کلاس هایی با ویژگی طبقه بندی شده استفاده می شوند. در ادامه، قابلیت پیش بینی شدن کلاس در تعریف 1 و پیش بینی پذیری کلاس در معادله ی 2 تعریف می شوند.
تعریف 1 (قابلیت پیش بینی شدن کلاس): با توجه به کلاس C و ویژگی مطلق A با به عنوان مقادیر کاندید آن، امتیاز قابلیت پیش بینی شدنِ کلاس C روی A برابر است با vi، که بوسیله ی علامت گذاری شده، به عنوان درصدی تعریف می شود که مقدار A در C به اندازه ی آن vi است. مجموع امتیازات قابلیت پیش بینی شدن برای ویژگی A روی همه ی مقادیر کاندید آن در C برابر با 1 است که در آن نمونه ای از C با A=vi می باشد. امتیاز قابلیت پیش بینی شدنِ ti با توجه به SC ti و دستور j، درصدی را اندازه می گیرد که به همراه آن می باشد و Q در آن مجموعه ای از SCs تولید شده در زمان اجرای j است. (به یاد داشته باشید که دیگر دستورات نیز می توانند ti را در زمان اجرایشان تولید کنند). امتیاز قابلیت پیش بینی پذیری ti (بوسیله ی p(ti) علامت گذاری شده) که اجرای j را شناسایی می کند، این معیار را محقق می نماید: .

مبتدی (مناسب برای درک مفهوم کلی مطلب) 

2. فن‌های طبقه‌بندی داده‌ها
طبقه‌بندی فرآیند اختصاص یک برچسب طبقه به شی‌ء (اشیاء) طبقه‌بندی نشده بر اساس مجموعه‌ای از ویژگی‌های تعریف‌شده است. یک طبقه‌بندی کننده ابتدا باید آن دانش را با یادگیری ارائه دسته‌ها با استفاده از یک مجموعه داده‌شده از نمونه‌های طبقه‌بندی‌شده پیشین دریافت کند. یک طبقه‌بندی کننده می‌تواند به‌عنوان یک پیش‌بینی کننده برای اشیاء طبقه‌بندی نشده یا یک توصیفگر برای اشیاء طبقه‌بندی‌شده عمل کند. رویکردهای بسیاری مانند درختان تصمیم‌گیری، رویکردهای مبتنی بر قانون، طبقه‌بندی‌های بیزی، شبکه‌های عصبی، طبقه‌بندی کننده‌های ژنتیک، ماشین‌های بردار پشتیبانی و بسیاری دیگر وجود دارد. یک طبقه‌بندی کننده با دقت پیش‌بینی آن، سرعت، استحکام، مقیاس‌پذیری، تفسیرپذیری، سادگی و شاخص‌های کیفیت وابسته به دامنه ارزیابی می‌شود.

2.1. طبقه‌بندی کننده Bayes Naïve
این مطلب تئوری Bayes را با فرضیه‌های استقلال قوی به‌عنوان یک طبقه‌بندی کننده ساده احتمالی اعمال می‌کند. فرض بر این است که وجود یا فقدان یک ویژگی مستقل از وجود یا فقدان ویژگی‌های دیگر است – ویژگی‌ها نامرتبط هستند که اجرای آن‌ها ساده، بهینه و درست است. اگر برخی اطلاعات و داده‌های آموزشی داشته باشیم، می‌توان از طبقه‌بندی کننده NB استفاده کرد و ما باید احتمالات را از داده‌های محدود برآورد کنیم. مزیت اصلی آن این است که زمان زیادی برای آموزش نیاز ندارد.

2.2. درختان تصمیم‌گیری
درختان تصمیم‌گیری نمایش ساختاری یک مجموعه داده را تشکیل می‌دهند. یک گره یک تصمیم را از تعدادی از گزینه‌ها می‌سازد و هر گره نهایی یک طبقه‌بندی خاص را نشان می‌دهد. DT ها (درختان تصمیم‌گیری) ابزارهایی بسیار قدرتمند هستند زیرا آن‌ها سریع هستند و عملکرد معقولی دارند. DT های مورداستفاده در این تحقیق BFTree، NBTree، J48 و RFT هستند. (Best-First Tree) BFTree گره‌های خود را در بهترین حالت اول، برخلاف DT های استاندارد گسترش می‌دهد که در حالت عمق اول گسترش می‌یابد. بهترین گرهی که همیشه برای اولین بار گسترش‌یافته است، گرهی است که منجر به حداکثر کاهش ناخالصی می‌شود. (Naive Bayes Tree) NBTree از یک تابع نقشه‌برداری برای فهرست داده‌های با ابعاد بزرگ استفاده می‌کند و باید یک تابع محاسباتی سبک و کم باشد؛ بنابراین، این مقادیر می‌تواند مرتب‌شده و بعداً در ساختار یک‌بعدی نهایی استفاده شود. J48 (نشان‌دهنده وکا C4.5 DT) گره‌های خود را در حالت عمق اول گسترش می‌دهد. این یک الگوریتم یادگیری تحت نظارت است که نقشه‌برداری را از مقادیر ویژگی به طبقات می‌آموزد و سپس این نقشه‌برداری به نمونه‌های ناشناخته جدید اعمال می‌شود. (Forests Forest Random) RFT شامل ایجاد مجموعه‌ای از درختان طبقه‌بندی است که بر اساس مجموعه‌های تصادفی داده‌ها محاسبه می‌شوند. این کار با استفاده از پیش‌بینی کننده‌های انتخاب‌شده به‌صورت تصادفی برای هر تقسیم در هر درخت انجام می‌شود.

2.3. فرایندهای چندلایه
اگر نمونه‌های ارائه‌شده را نتوان به‌صورت خطی جدا کرد، فرایندهای چندلایه (MLP) مورداستفاده قرار می‌گیرند. MLP ها شبکه‌های عصبی ارسالی هستند که شامل تعداد زیادی از عصب‌های متصل شده هستند که به واحدهای ورودی، واحدهای خروجی و واحدهای مخفی در بین آن‌ها تقسیم می‌شوند. وزن‌های اختصاص داده‌شده برای ارتباطات با استفاده از الگوریتم بازگشت عقب (BP) برآورد می‌شود. مقادیر وزن، عملکرد شبکه عصبی را تعریف می‌کنند.

3. سیستم تشخیص و طبقه‌بندی دولایه
سیستم چندلایه‌ای که قبلاً پیشنهادشده بود از دولایه تشکیل‌شده است که پیش از یک مرحله پیش‌پردازش می‌آیند. لایه اول – لایه تشخیص – روش انتخاب منفی را با استفاده از الگوریتم ژنتیک برای تشخیص نفوذ انحراف استفاده می‌کند، جایی که ردیاب‌ها برای شناسایی فعالیت‌های طبیعی آموزش می‌بینند تا هرگونه تفاوت (بیش از یک آستانه مشخص) را به‌عنوان یک ناهنجاری تشخیص دهند. لایه دوم – لایه طبقه‌بندی – از یک طبقه‌بندی کننده برای برچسب‌گذاری ترافیک با طبقه مناسب برای دسته‌های حمله و به حداقل رساندن هشدارهای نادرست استفاده می‌کند. هم ترافیک عادی و هم غیرعادی به طبقه‌بندی کننده داده می‌شود. روند در شکل 1 نشان داده‌شده است.

3.1. مرحله پیش‌ پردازش داده
پیش‌پردازش داده‌ها شامل جایگزینی داده‌های نمادین مانند پروتکل و خدمات با مقادیر مجزا/ کامل و تقسیم‌بندی مقادیر به همگن و در حوزه‌ای محدود است. الگوریتم Binning Width برابر استفاده شد و مقادیر اصلی با اعداد باین مربوط به دامنه آن‌ها جایگزین شدند. اطلاعات بیشتر در مقاله قبلی موجود است.

3.2. مرحله انتخاب ویژگی
همان‌طور که در مقاله قبلی ما [4] بیان‌شده است، روش انتخابی فرکانس متوالی (SFFS) استفاده و 26 ویژگی انتخاب شد که مربوط به برای یافتن الگوریتم انتخاب ویژگی با بهترین نتایج بود. ویژگی‌های انتخاب‌شده توسط SFFS بهترین نتایج دقیق را به دست آورد.
3.3. لایه I: تولید ردیاب‌ها و تشخیص ناهنجاری
این لایه GADG (الگوریتم ژنتیک برای تولید ردیاب‌ها) است – همچنین در [4] – برای تولید ردیاب‌ها برای فرآیند تشخیص نفوذ انحرافی استفاده‌شده است. در این فرآیند، آشکارسازهای ناهنجاری با استفاده از GA و کاربرد مفهوم NSA تولید می‌شوند – تولید آشکارسازهایی که با نمایش اتصالات عادی آشنا هستند، قادر به تشخیص بین عادی و غیرطبیعی هستند. ردیاب‌های یا قوانین تولیدشده اساساً مقادیر ویژگی‌های انتخاب‌شده هستند که به‌طور صحیح اتصالات طبیعی را نشان می‌دهند؛ بنابراین، ابتدا جمعیت مورداستفاده برای تولید این آشکارسازها با انتخاب تصادفی از اتصالات معمول در مجموعه داده پرشده است. دو اندازه‌گیری مسافت به‌طور جداگانه اعمال‌شده است –هندسه اقلیدسی و مین کاوسکی- و گروه آشکارساز تولیدشده توسط هر اندازه‌گیری مسافت آزمایش و مقایسه می‌شود.

در پایان فرآیند تولید آشکارسازها، آشکارسازهای بالغ به سیستم برای شروع فرآیند جداسازی خود از غیر خود آزاد می‌شوند. آشکارسازها از مقادیر برای ویژگی‌های انتخاب‌شده برای نمایش عناصر خودی تشکیل‌شده است. آشکارسازهای تولیدشده از مرحله قبل از طریق داده‌های آزمایش برای شروع فرآیند تشخیص ناهنجاری اجرا می‌شوند. نتایج به‌دست‌آمده از [4] در لایه بعدی – لایه طبقه‌بندی – برای طبقه‌بندی ناهنجاری‌های تشخیص داده‌شده وارد می‌شود، همان‌طور که در زیر با جزئیات توضیح داده‌شده است.

3.4. لایه دوم: استفاده از دسته‌بندی کننده‌ها برای دسته‌بندی حملات
پس از مرحله تشخیص ناهنجاری، اتصالات به‌عنوان عادی یا غیرطبیعی برچسب‌گذاری شده‌اند، اما نوع حمله مشخص نشده است. طبقه‌بندی کننده باید برای برچسب‌گذاری حملات با دسته خاص خود استفاده شود. بسیاری از طبقه‌بندی کننده‌ها مورد آزمایش و مقایسه قرار گرفتند. این طبقه‌بندی کننده‌ها عبارت‌اند از Bayes Naive، Decisions Trees – NBTree، BFTree، J48، RFT و شبکه‌های عصبی چندلایه Perceptron. در لایه طبقه‌بندی، هم ترافیک عادی و هم غیرعادی به‌صورت جداگانه طبقه‌بندی می‌شوند. برای ترافیک غیرعادی، ناهنجاری‌ها باید به‌عنوان یکی از دسته‌های حمله موجود در مجموعه داده، یا به‌عنوان عادی اگر آن مثبت کاذب باشد، برچسب‌گذاری شوند. برای ترافیک عادی، از طریق طبقه‌بندی انجام می‌شود، به‌طوری‌که اگر یک ناهنجاری به‌عنوان یک منفی نادرست شناسایی شود، به‌عنوان یک حمله به‌درستی با برچسب دسته درست برچسب‌گذاری می‌شود. مدل پیشنهادی به‌عنوان یک سیستم چند عامل در [8] اجرا شد.

4. آزمایش‌ها
این آزمایش با استفاده از مجموعه داده‌های ارزیابی IDS [21] NSL-KDD انجام شد. در تحقیقات پیشین، مجموعه داده KDD Cup 99 [15] بیشترین داده‌های معیار کاربردی برای ارزیابی عملکرد دستگاه‌های تشخیص نفوذ مبتنی بر شبکه بود. مشخص شد که مشکلاتی وجود دارد که الگوریتم یادگیری را منحرف می‌کند و نتایج به دلیل کپی کردن سوابق خود در هر دو مجموعه داده‌های آموزشی و آزمایشی نادرست است. مجموعه داده KDD Cup نیز برای ارزیابی بسیار وسیع است، بنابراین معمولاً بخش‌های کوچکی از داده‌ها برای ارزیابی مورداستفاده قرار می‌گیرند که منجر به نتایج نادرست نیز می‌شود؛ بنابراین، گروه محققین پرونده‌های اضافی را حذف کرده و مجموعه داده‌ها را به‌صورت متناسب برای به کسب تعادل انتخاب کردند و این امر به مجموعه داده NSL-KDD منجر شد. این تحقیق توسط بسیاری از محققین مورداستفاده قرارگرفته است، زیرا تعداد رکوردها برای داده‌های آموزشی و آزمون بسیار کمتر است، بنابراین کل مجموعه‌ها می‌توانند در آزمایش‌ها مورداستفاده قرار گیرند. چهار نوع عمومی حملات در مجموعه داده وجود دارد: رد خدمات (DoS)، کاوشگر، کاربر به ریشه (U2R) و دور به نزدیک (R2L). جدول 1 توزیع سوابق عادی و حملات در مجموعه داده NSL-KDD را نشان می‌دهد.
بعضی از مراحل برای آماده‌سازی فرآیند نیاز به تعدیل تنظیمات خود در عامل اصلی برای کسب بهترین نتایج در عوامل آشکارساز دارد. این مقادیر بهترین نتایج را با ویژگی‌های انتخاب‌شده توسط SFFS در آزمایش قبلی نشان داده‌شده در [5] ارائه داد. در آزمایش، 26 ویژگی توسط SFFS انتخاب شد. برای طبقه‌بندی کننده‌ها، داده‌های Train_20% برای آموزش استفاده شد، زیرا طبقه‌بندی کننده‌ها نشان داد که نتایج بسیار خوبی بدون نیاز به استفاده از تمام سوابق اطلاعات آموزشی به دست می‌دهد، همان‌طور که در [6،7] ثابت‌شده است. طبقه‌بندی کننده‌های اعمال‌شده در این آزمایش‌ها از طریق ابزارهای Weka استفاده شد [24].

مبتدی (مناسب برای درک مفهوم کلی مطلب) 

در 10، رویکردی بر پایه ی آستانه ی شماره دنباله مطرح می شود که کاهش حمله ی حفره ی خاکستری را در شبکه ی AODV پایه اجرا می کند. نویسندگان یک طرح SNBDS را پیشنهاد داده اند که جدول مسیر یابی را بوسیله ی اضافه کردن دو حوزه ی جدید تغییر می دهد. این دو حوزه ، وضعیت گره و زمان آخرین پاسخ هستند. وضعیت گره ها بدین معنی است که آیا گره مخرب است یا خیر و زمان آخرین پاسخ به معنی زمان اعلام وصول آخرین پاسخ (RREP) برای گره مقصد است. که این گره مقصد شماره دنباله اش را به روز رسانی کرده است. با توجه به رویکرد، نویسندگان سه نوع مختلف حفره ی خاکستری را از طریق استعمال اطلاعات غلط مسیر یابی راه اندازی کردند. این اطلاعات غلط ترافیک را به سمت حفره ی خاکستری جذب می کند و کنارگذاری انتخابی بسته در شبکه را اجرا می کند. بسته های پاسخ دریافت کردن یک گره (RREP) بسته ی پاسخ ارسال کردن گره (RREP) را به عنوان یک گره مخرب شناسایی می کند اگر اختلاف بین شماره دنباله های مقصد در بسته ی پاسخ و جدول مسیر یابی بزرگتر از مقدار آستانه ی محاسبه شده باشد. در ادامه یک بسته ی درخواست طعمه (RREQ) با آدرس مقصد و شماره دنباله ی مقصد غیر واقعی به گره مشکوک ارسال می شود. اگر گره مشکوک به درخواست طعمه (RREQ) پاسخ دهد، به عنوان یک گره مخرب اعلام می شود و گره ها در آینده همه ی بسته های پاسخ را حذف می کنند. محدودیت این طرح این است که نمی تواند حمله ی حفره ی خاکستری هوشمندی را کاهش دهد که در زمان روند شناسایی مسیر، حقیقتا در شبکه مشارکت می کند و در بسته ی پاسخ دریافت شده از گره مقصد یا دیگر گره های میانی ، اطلاعات صحیح ارسال می کند.
در 19، یک مکانیزم جمعی و توزیع شده ی جدید مطرح می شود که برای اداره کردن حمله ی حفره ی خاکستری شامل چهار ماژول امنیت می شود. مازول های امنیت عبارتند از : a) مجموعه داده ی همسایگی b) شناسایی ناهنجاری محلی c) شناسایی ناهنجاری جمعی و d) فعال کننده ی هشدار سراسری. در مازول های مجموعه داده ی همسایگی، هر گره در شبکه، اطلاعات ارسال داده در همسایگی اش را جمع می کند و آن را در یک جدول اطلاعات مسیر یابی داده (DRI) ذخیره می کند. ماژول شناسایی ناهنجاری محلی بوسیله ی یک گره تحریک می شود و این اتفاق زمانی رخ می دهد که این گره با کنترل کردن جدول DRI یک گره مشکوک، آن را شناسایی می کند. ماژول شتناسایی ناهنجاری جمعی برای افزایش قابلیت اطمینان شناسایی بوسیله ی کاهش احتمال شناسایی غلط فرایند شناسایی ناهنجاری محلی، فعال می شود. و در نهایت، ماژول فعال کننده ی هشدار سراسری با انتشار پیام هشدار درباره ی گره حفره ی خاکستری به همه ی گره ها در شبکه فراخوانی می شود. لازم به ذکر است که گره خاکستری بوسیله ی ماژول شناسایی ناهنجاری جمعی شناسایی شده است. گره مخرب شناخته شده از شبکه جدا می شود. این نویسنده حفره ی خاکستری ساده را از طریق استعمال پاسخ مسیر غلط راه اندازی کرده است اما گره حفره ی خاکستری هوشمند پاسخ مسیر غلط ارسال نمی کند و در زمان شناسایی مسیر به صورت عادی رفتار می کند و بسته های داده ی انتخابی را کنار می گذارد. در نتیجه، طرح ِDRI بنیانِ تحت حمله ی حفره ی خاکستری هوشمند شکست می خورد.
اکثر کارهای موجود با کاهش شماره دنباله بر مبنای حمله ی حفره ی خاکستری سر و کار دارند. لازم به ذکر است که در حمله ی حفره ی خاکستری گره پاسخ مسیر غلط می دهد تا ترافیک را جذب کند و بسته ی داده ی انتخابی را کنار بگذارد. همچنین در ادبیات علمی قابل دسترس، هیچگونه ارزیابی از حمله ی حفره ی خاکستری در دوره های زمانی مختلف و با توجه به پویایی گره وجود ندارد.
محدودیت های طرح های کنونی ما را تشویق کرد تا مکانیزم جدیدی پیشنهاد کنیم که بتواند حمله ی حفره ی خاکستری هوشمند در شبکه ی تک کاره را اداره کند. در این مقاله، توجهمان را روی نوع دوم حمله ی حفره ی خاکستری فوق الذکر متمرکز می کنیم. برای مثال، حمله ی حفره ی خاکستری که گره مخرب در ان در زمان شناسایی مسیر به طور عادی مشارکت می کند، کنار گذاری انتخابی بسته های داده را برای مدت زمانی اجرا می کند و سپس رفتار خود را به حالت عادی تغییر می دهد.

4. سیستم شناسایی نفوذ حفره ی خاکستری مطرح شده ی G-IDS
به منظور کاهش دادن اثر حمله ی حفره ی خاکستری هوشمند، مکانیزم جدیدی با نام MGAM (مکانیزم کاهش دهنده ی حمله ی حفره ی خاکستری) را مطرح کرده ایم، که عمدتا برای محاسبه ی تعداد بسته های کنار گذاشته شده بوسیله ی گره ای خاص به کار برده می شود . همه ی گره های G-IDS در حالت بی قاعده قرار دارند تا تراکنش های گره های همسایه را مورد استراق سمع قرار دهند. هنگامی که هرگونه ناهنجاری بوسیله ی گره های G-IDS شناسایی می شود، یک پیام هشدار بوسیله ی ان مخابره می شود. این پیام همه ی گره های در شبکه را برای مسدود کردن گره مخرب آگاه می کند. پیام هشدار شامل هویت گره حفره ی خاکستری، آدرس منبع و آدرس مقصد است. همه ی گره های عادی در هنگام دریافت کردن پیام هشدار مطرح شده از طرف گره های G-IDS، گره مخرب را در لیست سیاه خود قرار خواهند داد. طبق این پروتوکل مسیریابی AODV ، گره های معمولی اندکی تغییر می کند. نشان گذاری متعدد استفاده شده در رویکرد پیشنهادی در جدول 1 تشریح شده است و الگوریتم مکانیزم پیشنهادی در بخش 4.2 داده می شود. موارد پیش رو دو فرضیه ای هستند که در هنگام طراحی مکانیزم پیشنهادی ما لحاظ شده اند.

• هر گره G-IDS در محدوده ی تراکنش حداقل یک گره G-IDS خواهد بود تا هشدار را به یکدیگر ارسال کنند. برای مثال، همان طور که در شکل 2 نشان داده شده، یک گره G-IDS همواره همسایه ی چند گره G-IDS دیگر خواهد بود
• هر گره G-IDS در حالت استراق سمع قرار داده شده است تا همه ی تراکنش ها در محدوده اش را استراق سمع کند
در این مقاله، سه نوع مختلف گره در شبکه وجود دارد که به صورت مجزا کارهای مختلفی اجرا می کنند. این گره ها به شرح زیر هستند:
• گره حفره ی خاکستری هوشمند: به صورت انتخابی الگوریتم مسیریابی SGAODV (حفره ی خاکستری هوشمند AODV) را برای حمله ی حفره ی خاکستری در شبکه اجرا می کند.
• گره معمولی: این گره یک AODV اندکی اصلاح شده که MAODV (AODV تغییر داده شده) نامیده می شود را اجرا می کند تا مسیر یابی معمولی را انجام دهد و همچنین در زمانی که یک بسته ی هشدار منتشر شده بوسیله ی گره های G-IDS دریافت می کند، گره های مخرب را وارد لیست سیاه می کند.
• گره G-IDS: این گره MGAM را اجرا می کند (مکانیزم کاهش دهنده ی حمله ی حفره ی خاکستری) تا گره های حفره ی خاکستری را کاهش دهد و شناسایی کند و بسته های یک هشدار را در زمانی که هر گونه ناهنجاری شناسایی می کند، در شبکه مخابره کند.

4.1. تعریف روش پژوهشی پیشنهاد شده
براساس پروتوکل AODV، گره منبع، بسته ی درخواست (RREQ) را به منظور یافتن مسیری برای برقراری ارتباط با گره مقصد مخابره می کند. هنگام دریافت کردن بسته ی درخواست (RREQ)، گره مقصد یا هر گره میانی که دارای مسیری به سمت مقصد است می تواند بسته ی پاسخ (RREP) را به گره منبع ارسال کند. گره های مخرب که حمله ی حفره ی خاکستری را انجام می دهند، در زمان روند شناسایی مسیر به صورت طبیعی رفتار می کنند و بسته ی در خواست (RREQ) را در صورتی که مسیر به سمت مقصد نداشته باشند، مجددا در شبکه مخابره می کنند.وقتی مسیر که حاوی گره مخرب برای ارسال بسته های داده است، انتخاب می شود، همان طور که در شکل 3 نشان داده شده، این گره بسته های داده را به صورت انتخابی کنار می گذارد. به منظور کم کردن حمله ی حفره ی خاکستری، چهار گره ثابت شده ی G-IDS مورد استعمال قرار گرفته که بیشتر محدوده ی شبیه سازی را پوشش می دهند و گره های همسایگی را برای کنترل این موضوع که آیا تعداد بسته هایی که گره دریافت کرده به هاپ بعدی اش ارسال شده یا نه، نظارت می کنند. این گره G-IDS تعداد بسته های دریافت شده و ارسال شده بوسیله ی گره را محاسبه می کند. اگر اختلاف بین تعداد بسته های دریافت شده و بسته های ارسال شده بیشتر از مقدار آستانه ی کنار گذاری (TH) باشد، در ادامه، همان طور که در شکل 4 نشان داده شده، گره های G-IDS یک بسته ی هشدار را مخابره کرده و همه ی گره ها در شبکه را در مورد هویت گره های حفره ی خاکستری آگاه می کنند. دیگر گره ها هنگام دریافت کردن یک بسته ی هشدار، ورودی گره مخرب را در جدول لیست سیاهشان قرار می دهند و گره منبع ورودی مقصد را از جدول مسیریابی حذف می کند و روند شناسایی مسیر جدیدی را از طریق مخابره ی بسته ی درخواست جدیدی در شبکه آغار می کند. این فرایند در شکل 5 نشان داده شده است. هر گره در هنگام دریافت کردن بسته ی درخواست، کنترل می کند که آیا درخواست از سمت گره مخرب است یا نه. اگر از طرف گره مخرب باشد، در ادامه این بسته بوسیله ی گره کنار گذاشته می شود در غیر اینصورت، بسته ی درخواست مسیر را مخابره می کند تا مسیر به سمت گره مقصد را پیدا کند. همان طور که در شکل 6 نشان داده شده،گره منبع بعد از دریافت کردن پاسخ از گره مقصد، بسته های داده را از طریق مسیر امن ارسال می کند. پیاده سازی سیستم شناسایی نفوذ حفره ی خاکستری پیشنهاد شده (G-IDS) در NS-2 ، در شکل 7 نشان داده می شود.

تخمین الگوریتم بسیار سریع درخت تصمیم گیری جهت تشخیص نفوذ شبکه

Evaluating Very Fast Decision Tree (VFDT) Algorithm for Detecting Network Intrusion

Abstract

With recent advances in network based technology needs protecting computers and networks which becomes a huge problem. Based on information coming from various response teams a computer was attacked or broken into more than once per second. In this paper, two grains levels intrusion detection system (IDS) is suggested fine-grained and coarse-grained. In normal case the intrusions are not detected, to improve the performance the most suitable IDS level is the coarse-grained. Any intrusion is detected by coarse-grained IDS after that the fine-grained is used to detect the possible attack details. Very fast decision tree (VFDT) algorithm is used in both of these detection levels. In order to ensure efficiency of the proposed model, it has been tested on KDD CUP 99 dataset and a real traffic dataset. Experimental results demonstrate that the proposed model is highly successful in detecting known and unknown attacks

1 Introduction

An intrusion detection system (IDS) inspects all network activity and identifies suspicious patterns that may indicate a network or system attack from someone attempting to break into or compromise a system. With the rapid growth in network, intrusions in computers have increased rapidly. Intrusion Detection System is an essential component of a complete defence-in-depth architecture for network security. It collects and inspects packets, looking for evidence of intrusive behaviours. Whenever intrusive event is detected, an alarm is raised giving the security analyst an opportunity to react promptly. Most of designed IDSs cannot cope with fast networks. Although several IDS systems are available, the common objectives of these systems are to reduce the amount of false alarms, and to recognize new attacks in order to increase detection ratio. In this paper, the concentration is on detecting attacks in fast networks in order to mitigate the influence of the attack by reducing the time gap between the real attack and its detection. This paper contributes to build two grains levels IDS in order to detect abnormal behaviour of network traffic and cope with fast networks i.e. finegrained and coarse-grained. It is well known that the intrusion occurrence in networks with respect to general traffic is rare. These motivate us to build the proposed two grains levels IDS they are fine-grained and coarse-grained. In normal case, where intrusions are not detected, the most suitable IDS level is the coarse-grained to increase performance. At the moment of intrusion is detected by coarse-grained IDS, the fine-grained IDS is used to detect as most as possible of attack details.. The coarse-grained Intrusion Detection System focuses on five packet features while fine-grained Intrusion Detection System works on 20 features. Very Fast Decision Tree (VFDT) algorithm is selected as a fast classifier. The advantages of this system is processing and analysing of high-speed network traffic, discovering and accurately identifying new attacks to reduce the false alarms to an maximum extent, and detecting the intrusion in real time. DARPA KDD CUP 99 dataset is used as a bench-mark for the proposed IDS, which contains 41 features. we analysed these features and selected 20 features having information gain ratio over the average of the dataset. Then, we trained and tested the proposed system.

انتخاب بردارهای پشتیبان مناسب در SVM افزایشی برای کشف نفوذ شبکه

Selection of Candidate Support Vectors in incremental SVM for network intrusion detection

مبتدی (مناسب برای درک مفهوم کلی مطلب)

F1936

بررسی تکنیک های تشخیص نفوذ درمحیط ابری

A survey of intrusion detection techniques in Cloud

چکیده
رایانش ابری خدمات مورد تقاضای مقیاس پذیر و مجازی را برای کاربران نهایی با انعطاف پذیری بیشتر و سرمایه گذاری زیرساختی کمتر فراهم می کند. این خدمات با استفاده از اینترنتی که از پروتکل های شبکه ای شناخته ش ده، استاندارد ها و قالب بندی هایی با نظارت مدیریت های مختلف است. اشکالات و آسیب پذیری -های موجود در تکنولوژی های پایه و پروتکل های برجا مانده سبب بازگشایی دروازه هایی برای اختلال می شود. این مقاله پیمایشی را بر تداخل های مختلف که بر دسترسی، محرمیت و انسجام منابع و خدمات ابری اثر گذار است انجام می دهد. پیشنهادات سیستم های شناسایی تداخل های مشترک (IDS) را در محیط ابری آزمون می کند و انواع و فنون مختلف IDS و سیستم های ممانعت از تداخل ها (IPS) را مورد بحث قرار می-دهد و بر توزیع IDS/IPS در ساختار ابری توصیه هایی برای دستیابی به امنیت مطلوب در شبکه های نسل بعدی دارد..
1- مقدمه

رایانش ابری با هدف تامین راحتی، تقاضا براساس نیاز، دسترسی به شبکه برای اشتراک منابع محاسباتی قابل پیکر بندی (مانند شبکه ها، سرورها، حافظه ها، برنامه های کاربردی کامیپوتری (اپلیکیشن ها) و خدمات) فراهم شده است، که می تواند به سرعت بازبینی شود و از حداقل فعالیت مدیریتی یا کنش های تامین کننده خدمات به دور باشد. محیط ابری خدمات را به شکل های مختلف ارائه می دهد: نرم افزار به عنوان یک سرویس SaaS (مثل Google Apps، اپلیکیشن های گوگل)، پلتفرم به عنوان یک سرویس PaaS (مثل موتور جستجوی اپلیکیشن گوگل Google App Engine)، Microsoft’s Azure و زیرساخت به عنوان یک سرویس IaaS (Service-Iaas) مثل خدمات وبسایتی آمازون (AWS، اوکالیپتوس (Eucalyptus) ، Open Nebula.

همانگونه که خدمات ابری از طریق اینترنت بازرسی می شود، امنیت و حریم خصوصی خدمات ابری مسائل کلیدی هستند که باید مورد توجه باشند. بررسی موسسه داده های بین المللی (IDC) نشان داد که امنیت بزرگترین چالش رایانش ابری است. اوراق سفید اخیر امنیت محاسبات ابری توسط بخش امنیت سایبری لاکهید مارتین نشان می دهد که نگرانی عمده از امنیت بعد از امنیت اطلاعات، تشخیص و ممانعت از نفوذ در زیرساخت های ابری است. زیرساخت های ابری روش های مجازی سازی، فناوری های یکپارچه و اجرا از طریق پروتکل های استاندارد اینترنتی است. این موارد ممکن است سبب جذب مزاحم به دلیل آسیب پذیری های دخیل در آن باشد.
محاسبات ابری همچنین به سبب حملات قدیمی مختلف از قبیل جعل نشانی IP، جعل آرپ، حمله پروتکل اطلاعات مسیریابی، مسمومیت DNS، جریان، منع سرویس (DoS)، منع سرویس توزیع شده (DDoS) و غیره مثل حمله DoS به زیرساخت ابری آمازون سبب BitBucket.org شد که یک سایت در هاست AWS برای چند ساعت غیر قابل دسترس باقی می ماند. همانطور که در [12] نشان داده شد، محاسبه هزینه با استفاده از روش های کنونی رمز نگاری نمی تواند بر محیط ابری غالب شود. فایروال (دیوار آتشین) می تواند گزینه خوبی برای ممانعت از حملات بیرونی باشد اما برای حملات داخلی کارایی ندارد. سیستم های تشخیص نفوذ (IDS) و سیستم های ممانعت از نفوذ (IPS) باید همراه با زیر ساخت ابری باشد تا این حملات را کاهش دهد.
ادامه مقاله به صورت ذیل سازماندهی شده است. بخش 2 بر حملات تداخل قابل کاربرد در محیط ابری بحث می کند. فایروال های سنتی به عنوان راه حل امنیتی هستند که به طور مختصر در بخش 3 بحث شد. بخش 4 روش های مختلفی را برای IDS/IPS ارائه می دهد و بخش 5 انواع IDS/IPS موجود و کار مشخص محیط ابری را در IDS بررسی می کند. بخش 6 در انتها با مراجع به نتیجه گیری می پردازد.

Abstract

Cloud computing provides scalable, virtualized ondemand services to the end users with greater flexibility and lesser infrastructural investment. These services are provided over the Internet using known networking protocols, standards and formats under the supervision of different managements. Existing bugs and vulnerabilities in underlying technologies and legacy protocols tend to open doors for intrusion. This paper, surveys different intrusions affecting availability, confidentiality and integrity of Cloud resources and services. It examines proposals incorporating Intrusion Detection Systems (IDS) in Cloud and discusses various types and techniques of IDS and Intrusion Prevention Systems (IPS), and recommends IDS/IPS positioning in Cloud architecture to achieve desired security in the next generation networks.

1- Introduction

Cloud computing aims to provide convenient, on-demand, network access to a shared pool of configurable computing resources (e.g. networks, servers, storage, applications, and services), which can be rapidly provisioned and released with minimal management effort or service provider interactions [1]. Cloud provides services in various forms: Software as a Service-SaaS (e.g. Google Apps [2]), Platform as a ServicePaaS (e.g. Google App Engine [3], Microsoft’s Azure [4]) and Infrastructure as Service-IaaS (e.g. Amazon Web Service (AWS) [5], Eucalyptus [6], Open Nebula [7]).

As Cloud services are provisioned through the Internet; security and privacy of Cloud services are key issues to be looked upon. International Data Corporation (IDC) survey [8] showed that security is the greatest challenge of Cloud computing. The recent cloud computing security white paper by Lockheed Martin Cyber Security division [9] shows that the major security concern after data security is intrusion detection and prevention in cloud infrastructures. Cloud infrastructure makes use of virtualization techniques, integrated technologies and runs through standard Internet protocols. These may attract intruders due to many vulnerabilities involved in it.

Cloud computing also suffers from various traditional attacks such as IP spoofing, Address Resolution Protocol spoofing, Routing information Protocol attack, DNS poisoning, Flooding, Denial of Service (DoS), Distributed Denial of Service (DDoS) etc. E.g. DoS attack on the underlying Amazon Cloud infrastructure caused BitBucket.org, a site hosted on AWS to remain unavailable for few hours [10]. As shown in [12], the computing-cost using current cryptographic techniques cannot be overlooked for Cloud. Firewall can be a good option to prevent outside attacks but does not work for insider attacks. Efficient intrusion detection systems (IDS) and intrusion prevention systems (IPS) should be incorporated in Cloud infrastructure to mitigate these attacks.

Rest of the paper is organized as follows. Section 2 discusses various intrusion attacks applicable to Cloud environment. Traditional firewalls as a security solution are discussed briefly in section 3. Section 4, presents various techniques for IDS/IPS and section 5 surveys existing IDS/IPS types and examines Cloud specific work on IDS. Section 6 concludes with references at the end.

بررسی تکنیک های تشخیص نفوذ درمحیط ابری

A survey of intrusion detection techniques in Cloud

تشخیص موثر تقلب ها و کلاهبرداری های بانکی پیشرفته آنلاین در داده های به شدت نامتوازن

Effective detection of sophisticated online banking fraud on extremely imbalanced data

چکیده :
تقلب در بانکداری آنلاین نشان دهنده منابع یکپارچه اجتماعی ، سایبری و دنیای فیزیکی است. این تشخیص نوعی استفاده از اینترنت و موارد گسترده با روش (W2T) است. با این حال، اطلاعات بسیار محدودی برای تشخیص تقلب پویا از رفتار مشتری واقعی در چنین محیط اطلاعاتی بسیار پراکنده و نامتوازن در دسترس می باشد، که باعث می شود تشخیص فوری و موثر بیشتر مهم و چالش برانگیز شود. در این مقاله، ما یک چارچوب آنلاین تشخیص تقلب بانکی موثر داریم که از ترکیب منابع مربوطه و شامل چندین تکنیک پیشرفته داده کاوی است. با ساخت یک بردار برای هر معامله بر اساس توالی رفتار تاریخی مشتری ، ما نرخ افتراق هر معامله موجود در برابر مشخصات رفتار مشتری را بدست می آوریم . یک الگوریتم ، کانترست ماینبر برای کاوش موثر الگوهای کانترست و تفکیک رفتار های جعلی از اصیلی معرفی شده است ، به دنبال انتخاب الگوی موثر که ترکیبی از پیش بینی مدل های مختلف و خطر است. نتایج حاصل از آزمایشات واقعی داده های بانکی آنلاین در مقیاس بزرگ نشان می دهد که سیستم ما می تواند به دقت بالاتر و حجم هشدار پایین تر از سیستم تشخیص تقلب ، معیار ترکیب دانش تخصصی و روش های تشخیص تقلب سنتی دست یابد.

1. مقدمه
با استفاده گسترده از تکنولوژی اینترنت به طور فزاینده [15، 47، 60]، بانکداری آنلاین (اگرچه بانکداری اینترنتی نامیده می شود) به عنوان یک کانال اصلی برای خرده فروشی و تجارت در حال ظهور است. در مقابل، فعالیت های بانکداری آنلاین جعلی بیشتر و بیشتر پیچیده می شوند، و به طور جدی امنیت و اعتماد در تجارت با بانکداری آنلاین تهدید شده است. تقلب در بانکداری آنلاین یک مسئله جدی در مدیریت جرائم مالی برای همه بانک ها تبدیل شده است. این اتفاق سبب به چالش کشیدن و منجر به ضرر و زیان های عظیم، که ناشی از ظهور و تکامل تقلب در بانکداری آنلاین ، از قبیل کلاهبرداری فیشینگ، الودگی بد افزار و وب سایت های شبح است. تشخیص موثر و کارآمد تقلب بانکی اینترنتی به عنوان یک چالش عمده برای تمام بانک ها در نظر گرفته شده ، و از علل افزایش نگرانی است.
یک سیستم تشخیش کلاهبرداری انلاین بانکی می تواند شامل استفاده از روش اینترنت (W2T) و چیز های گسترده باشد [63-66]. به این علت موقع جمع آوری داده ها چند جنبه از مشتریان بانکداری آنلاین خواسته می شود ، از جمله اطلاعات دموگرافیک، داده های معامله بانکی آنلاین ، اطلاعات تراکنش کارت اعتباری و انواع دیگر از داده های معامله. این داده ها از طریق اینترنت / WWW و SEA به شبکه بانکداری آنلاین و مرکز داده های مشتری منتقل می شود. مرکز داده یک پلت فرم برای کل فرایند تشخیص تقلب در بانکداری آنلاین را فراهم می کند. این یک چرخه اطلاعات کامل از اطلاعاتی ناهمگن ، و دانش در دنیای فیزیکی برای ارائه خدمات فعال در جهان مجازی به مشتریان اجتماعی است. مشتریان بانکداری آنلاین (در جهان اجتماعی)، همه چیز (در جهان فیزیکی)، و سیستم های کامپیوتری (در دنیای سایبر) یک نهاد یکپارچه برای تحقق بخشیدن به هماهنگی و همزیستی با استفاده از یک چرخه داده W2T هستند. در این چرخه، فرآیند تشخیص کلاهبرداری یک وظیفه مهم است.
تقلب در بانکداری اینترنتی نمایانگر ویژگی های پیچیده خاص است (به بحث های مفصل در بخش 2.1 نگاه کنید) :
– مشتریان مشکوک فعال و هوشمند در انجام فعالیت های بانکی جعلی ،
– رفتار جعلی بسیار پویا ،
– تقلب پنهان و متنوع در رفتار مشتری ، مربوط به تقلب در معاملات بسیاری از مجموعه داده های بزرگ پراکنده و نامتوازن، و
– وقوع تقلب در یک زمان بسیار محدود که نیاز به تشخیص زمان واقعی دارند.
تقلب در بانکداری آنلاین نیاز به تشخیص فوری دارد ، دلیل آن بازیابی موارد از دست رفته در صورت انجام کلاهبرداری است. اکثر مشتریان معمولا به ندرت تاریخ بانکی آنلاین خود را به طور منظم چک می کنند و بنابراین قادر به کشف و گزارش معاملات جعلی بلافاصله پس از وقوع یک کلاهبرداری نیستند. این باعث می شود امکان بازیابی موارد از دست رفته بسیار کم شود. علاوه بر این، تمام هشدارهای تولید شده از سیستم تشخیص باید به صورت دستی بررسی شود، که بسیار وقت گیر است. سیستم های تشخیص بانکداری آنلاین دارای دقت بالا، نرخ تشخیص بالا و کنترل تعداد هشدار در تجارت پیچیده بانکداری آنلاین هستند.
ویژگی های بالا و الزامات تجارت تا حد زیادی روش های تشخیص تقلب و مدل های داده کاوی موجود را برای حفاظت از معاملات کارت اعتباری، تجارت الکترونیک، بیمه، خرده فروشی، ارتباطات راه دور، کامپیوتر، و غیره به چالش می کشد ، این روش ها عملکرد ضعیف در بهره وری و / یا دقت در زمانی که برای تشخیص تقلب در بانکداری آنلاین استفاده می شود را نشان می دهد [35]. به عنوان مثال، کارت اعتباری و یا تشخیص تقلب مخابراتی اغلب در کشف الگوهای رفتاری خاص از یک مشتری خاص و یا گروه رخ می دهد، اما معاملات بانکی آنلاین مربوط به سرقت تمرکز بسیار پویا است و بسیار شبیه به رفتار مشتری واقعی به نظر می رسد. برخی از روش های تشخیص نفوذ در یک محیط کامپیوتر پویا به خوبی انجام شده، اما آن ها نیاز به مقدار زیادی از داده های آموزشی با سیاهه های مربوط به عنوان شواهد دارند. با این حال، هیچ مدرکی وجود ندارد که آشکار نشان دهد که یک تراکنش بانکی آنلاین جعلی است.
یک مورد امیدوار کننده به تازگی پدید آمده است که به دقت تفاوت بین رفتار های جعلی و واقعی را بررسی می کند، و روش های مربوطه و الگوهای مقابل را توسعه می دهد، به عنوان مثال، در مقابل مجموعه [6] و الگوهای در حال ظهور [24، 25، 52]. با این حال، آزمایش از روش های کلاسیک بر روی داده های بانکداری آنلاین واقعی نشان داده است که دقت و صحت آنها به دلیل چالش در تشخیص تقلب بانکداری آنلاین بسیار بالا است. علاوه بر این، با توجه به پژوهش [61]، الگوی کنتراست به معنی یک مشکل سخت NP است، زمان زیادی هنگامی که تعداد ویژگی ها آن زیاد است صرف آن می شود ، و آستانه سرعت کشف و شناسایی آن کوچک است. بر اساس آزمایش های ما، روش الگوی کنتراست [24] به طور موثر طرح بانکداری آنلاین را انجام نمی دهد.
تنها چند مقاله در مورد کنترل تقلب در بانکداری آنلاین [35، 37، 44] وجود دارد. جریان اصلی سیستم های تشخیص تقلب بانکی آنلاین برای ایجاد قوانین برای فیلتر معاملات مشکوک که مشکلات مهمی ایجاد می کنند، از جمله نرخ مثبت کاذب بسیار بالا و نرخ تشخیص کم ، به کارشناسان تکیه می کنند. از همه مهمتر، اقتباس قوانین به پویایی تقلب و به تخصص دامنه به طور کامل وابسته هستند. کیفیت تشخیص تقلب بدون کنترل پایدار بسیار وقت گیر است ، و از طریق پیام رسان از قوانین پشتیبانی نمی کند.
بسیاری از حوادث و رفتارهای قبلی در زمان های مختلف مستقل بوده و اطلاعات ثبت شده در توالی رویداد را نادیده می گیرد. در بانکداری آنلاین، توالی فعالیت برای افتراق رفتار جعلی از رفتار واقعی مفید هستند. به عنوان مثال در جدول 1 و 2 نشان داده شده است. جدول 1 دنباله دسترسی به صفحه وب توسط یک تروجان است، در حالی که جدول 2 یک معامله واقعی از طریق یک مرورگر وب است. دو ویژگی متضاد بین این دو توالی وجود دارد. یکی این که تقلب کنار برخی از صفحات وب مانند homepage.aspx بعد از ورود و صفحه چاپ پس از تایید انتقال ناچیز برای ارسال معامله می باشد. دیگر این که معامله در کمتر از 3 ثانیه پس از ورود به سیستم به پایان رسیده ، که بیش از حد برای یک کاربر معمول بانکداری آنلاین برای دستیابی از طریق یک مرورگر وب سریع است.
با استفاده از داده ها و ویژگی های تجارت فوق، این مقاله یک چارچوب موثر در شناسایی پیچیده تقلب بانکی اینترنتی پیشنهاد می کند. ایده اصلی، مزایا و کمک های حاصل از این چارچوب به شرح زیر است :
– این است که توسط تئوری مهندسی meta-synthetic [11] ، M-Computing [12] و حکمت وب از چیزهایی که [66] الهام گرفته، یک راه حل سیستماتیک با ترکیب دانش دامنه، تجربه در سیستم تشخیص مبتنی بر قواعد ، مزایای استفاده از مدل های مختلف، و پالایش توسط کارشناسان فراهم می کند.
– این تعبیه ماژول سیستماتیک با انتخاب ویژگی ها بر اساس کسب اطلاعات، استخراج رفتار مقابل طبقه بندی ساختمان ، تولید نمره خطر کلی برای هر معامله در بانکداری آنلاین، و شناسایی الگوهای رفتاری جعلی را انجام می دهد. سیستم تشخیص تقلب بانکی آنلاین با هر سیستم بانکداری آنلاین و یا خدمات ارتباط برقرار نمی کند.
– ما نه تنها دنبال این اطلاعات رفتاری برای شناسایی الگوهای مقابل هستم، بلکه این روش جدید، برای ادغام رفتار های متوالی پایگاه داده برای استخراج الگوهای مقابل موثر است.
– این سیستم شامل ادغام چندین مدل داده کاوی ، هزینه شبکه های عصبی حساس [67]، الگوی کنتراست ، و جنگل تصمیم است. از آنجا که مدل های مختلف کشف تقلب و الگوهای رفتاری واقعی از زوایای مختلف مورد برسی قرار می گیرد ، ترکیب آنها [13] الگوهای رفتاری جامع تر ارائه می دهد.
– هر مدل را می تواند به راحتی در طول زمان از تغییرات در رفتار جعلی حفظ کنید.
– آزمایش های عظیم در یک بانک در استرالیا که سیستم و مدل های تشخیص نرخ بالاتر و سرعت کاذب پایین تر دارند از هر مدل داده کاوی کلاسیک سیستم مبتنی بر قواعد موجود مورد استفاده در تمام بانک های بزرگ استرالیا بهتر عملکرده است. علاوه بر این، سیستم ما عملکرد تشخیصی نسبتا خوب بر روی مجموعه داده بسیار نامتوازن و مدل الگوی کنتراست ایجاد می کند و به اصلاح بر روی داده های زمان واقعی کارآمد است. همچنین الگوهای رفتاری توالی کشف ، و اطلاعات بیشتری در مورد شواهد پزشکی قانونی برای تشخیص تقلب فراهم می کند.
ادامه مقاله به شرح زیر تدوین شده است. بخش 2 ویژگی های تقلب بانکداری آنلاین در جزئیات و ارائه یک نمای کلی از کار مرتبط در کشف تقلب. بخش 3 بیانیه مشکل و تعریف اصطلاحات را ارائه می دهد ، در حالی که بخش 4 دقت و چارچوب تشخیص تقلب بانکی آنلاین در جزئیات را توضیح می دهد. روش مقابل استخراج الگوی با بردار مقابل در بخش 5 معرفی و روش امتیازدهی خطر بر اساس مدل های ترکیب شده در بخش 6 است. ارزیابی آزمایش ارائه شده در بخش 7 مورد بحث است و 8 نتایج و جهت تحقیقات آینده را نشان می دهد.

Abstract

Sophisticated online banking fraud reflects the integrative abuse of resources in social, cyber and physical worlds. Its detection is a typical use case of the broad-based Wisdom Web of Things (W2T) methodology. However, there is very limited information available to distinguish dynamic fraud from genuine customer behavior in such an extremely sparse and imbalanced data environment, which makes the instant and effective detection become more and more important and challenging. In this paper, we propose an effective online banking fraud detection framework that synthesizes relevant resources and incorporates several advanced data mining techniques. By building a contrast vector for each transaction based on its customer’s historical behavior sequence, we profile the differentiating rate of each current transaction against the customer’s behavior preference. A novel algorithm, ContrastMiner, is introduced to efficiently mine contrast patterns and distinguish fraudulent from genuine behavior, followed by an effective pattern selection and risk scoring that combines predictions from different models. Results from experiments on large-scale real online banking data demonstrate that our system can achieve substantially higher accuracy and lower alert volume than the latest benchmarking fraud detection system incorporating domain knowledge and traditional fraud detection methods.

1 Introduction

With the widespread use of increasingly advanced Internet technology [15, 47, 60], online banking (also called Internet banking) is emerging as a major channel for retail and business banking. In contrast, fraudulent online banking activities are becoming more and more sophisticated, seriously threatening the security and trust of online banking business. Online banking fraud has become a serious issue in financial crime management for all banks. It is becoming ever more challenging and leads to massive losses, due to the emergence and evolution of sophisticated online banking fraud, such as phishing scams, malware infection and ghost web sites. Effective and efficient detection of Internet banking fraud is regarded as a major challenge to all banks, and is an increasing cause for concern. An online banking fraud detection system can be a typical use case of the broadbased Wisdom Web of Things (W2T) [63–66] methodology. It has to timely gather multi-aspect data of online banking customers, including demographic data, online banking transaction data, credit card transaction data and other types of transaction data.These data will be transferred via the Internet/WWW and SEA-nets to an online banking customer data center. The data center provides a platform for the whole process of online banking fraud detection. It is a complete data cycle from acquisition of heterogeneous data, information, and knowledge in the physical world to the provision of active services in the cyber world to customers in the social world. Online banking customers (in the social world), things (in the physical world), and computer systems (in the cyber world) are integrated into an entity to realize their harmony and symbiosis by using an effective W2T data cycle. In this cycle, the process of fraud detection is one important task. Internet banking fraud exhibits certain sophisticated characteristics (see detailed discussions in Section 2.1): – suspicious customers are active and intelligent in conducting fraudulent banking activities, – fraudulent behavior is very dynamic, – fraud is hidden in diversified customer behavior, – fraud-related transactions are dispersed in highly imbalanced large data sets, and – the occurrences of fraud appear in a very limited time which requires real-time detection. The detection of online banking fraud needs to be instant, because it is very difficult to recover the loss if a fraud is undiscovered during the detection period. Most customers usually rarely check their online banking history regularly and are therefore not able to discover and report fraud transactions immediately after an occurrence of a fraud. This makes the possibility of loss recovery very low. In addition, all alerts generated from the detection system need to be manually investigated, which is very time-consuming. Online banking detection systems are therefore expected to have high accuracy, a high detection rate, and a low false positive rate for generating a small, manageable number of alerts in complex online banking business. The above characteristics and business requirements greatly challenge existing fraud detection techniques and data mining models for protecting credit card transactions, e-commerce, insurance, retail, telecommunication, computer intrusion, etc. These existing methods demonstrate poor performance in efficiency and/or accuracy when directly applied to online banking fraud detection [35]. For instance, credit card or telecommunication fraud detection often focuses on discovering particular behavior patterns of a specific customer or group, but fraud-related online banking transactions are very dynamic and appear very similar to genuine customer behavior. Some intrusion detection methods perform well in a dynamic computer environment, but they require a large amount of training data with complete attack logs as evidence. However, there is no obvious evidence to show whether an online banking transaction is fraudulent. A promising direction emerged recently that scrutinizes the difference between fraudulent and genuine behavior, and develops corresponding approaches for mining contrast patterns, for instance, contrast sets [6] and emerging patterns [24, 25, 52]. However, experiments of classic methods on real online banking data have shown that their accuracy is not very high because of the challenges in online banking fraud detection. In addition, according to the research in [61], contrast pattern mining is an NP hard problem, the time cost is expensive, especially when the number of attributes is large, and the threshold of minimal detection rate is small. Based on our experiments, the contrast pattern method in [24] does not perform efficiently in the online banking scenario. There are few papers about fraud control in online banking [35, 37, 44]. The mainstream online banking fraud detection systems rely on domain experts and knowledge to create rules for filtering suspicious transactions, which face critical problems, including very high false positive rates and low detection rates. More importantly, the adaptation of rules to fraud dynamics is fully dependent on domain expertise. This is very time-consuming, leaves the quality of fraud detection without sustainable control, and cannot support instant adjustment of rules. Most previous work treats events at different time points as independent and ignores the information incorporated in event sequences. In online banking, activity sequences are useful for differentiating fraudulent behavior from genuine behavior. An example is shown in Tables 1 and 2. Table 1 is a web page access sequence committed by a Trojan, while Table 2 is from a genuine transaction via a web browser. There are two contrasting features between these two sequences. One is that the fraud bypassed some web pages that are insignificant for submission of the transaction, such as homepage.aspx after login and the print page after the transfer confirmation. The other is that the transaction was completed within 3 seconds of login, which is too fast for a common online banking user to achieve via a web browser.Using the above data and business characteristics, this paper proposes an effective framework for detecting sophisticated Internet banking fraud efficiently. The main ideas, advantages and resulting contributions of this framework are as follows: – It is inspired by the theory of meta-synthetic engineering [11], M-Computing [12] and Wisdom Web of Things [66], and provides a systematic solution by synthesizing domain knowledge, experience learned in the rule-based detection system, advantages from multiple models, and refinement by domain experts. – It embeds systematic modules by selecting features based on information gain, extracting contrast behavior, building classifiers, generating an overall risk score for every online banking transaction, and identifying patterns of fraudulent behavior. This makes it a real time online banking fraud detection system that does not interfere with any existing online banking system or its service. – We not only construct sequence behavior information for identifying contrast patterns, but also propose a new method, a contrast vector, to integrate the sequential behavior contrast into the relational transaction database for mining more effective contrast patterns. – The system incorporates and integrates several data mining models, costsensitive neural network [67], contrast pattern mining, and decision forest. Because different models discover fraud and genuine behavior patterns from different angles, their combination [13] captures behavior patterns in a more comprehensive way. – Each model can be easily retrained over time to keep abreast of changes in fraud behavior. – Massive experiments in a major Australian bank show that our system and models have a higher detection rate and a lower false positive rate than any single classic data mining model, outperforming the existing rule-based system used in all major Australian banks. In addition, our system generates comparably good detection performance on highly imbalanced data sets and the modified contrast pattern mining model is efficient on real time data. The sequence behavior patterns discovered also provide more information about forensic evidence for fraud detection. The remainder of the paper is organized as follows. Section 2 describes the characteristics of online banking fraud in detail and presents an overview of related work on fraud detection. Section 3 gives a problem statement and definition of terminology, while Section 4 presents and explains the online banking fraud detection framework in detail. The method of contrast pattern mining with contrast vectors is introduced in Section 5 and the risk scoring method based on combined models is presented in Section 6. Experiment evaluation is discussed in Sections 7 and 8 provides conclusions and suggests future research directions.

مبتدی (مناسب برای درک مفهوم کلی مطلب) 

در مورد محیط ابری، مهاجم نیاز به دستیابی به جایگزین های کاربری معتبر دارد که قادر باشد به دسترسی سطح روت (پایه) برای VM ها یا میزبان دست یابد.

D. اسکن پورت (مسیر یابی)
مسیریابی فهرستی از پورت های باز، پورت های بسته و پورت های فیلتر شده را فراهم می کند. از طریق مسیر یابی مهاجم می تواند پورت های باز را بیابد و به سرویس های در حال اجرا در این پورت ها حمله نماید. جزییات مربوط به شبکه از قبیل آدرس IP، آدرس MAC، روتر، فیلترینگ ورودی، دستورهای فایروال و غیره می تواند از این طریق این حمله شناخته شود. فنون مسیر یابی مختلفی مثل اسکن TCP، اسکن UDP، اسکن SYN، اسکن FIN، اسکن ACK، اسکن ویندوز (همانند اسکن ACK است اما هر تغییری را در زمینه ویندوز بسته بررسی می کند) و غیره وجود دارد. در مورد مساله محیط ابری مهاجم می تواند به سرویس های ارایه شده (با شناسایی پورتهای باز از طریق این سرویس های فراهم شده) از طریق اسکن پورت (مسیر یابی) حمله نماید.

E. حمله به ماشین مجازی (VM) یا فوق مجازی
با سازش کردن به فوق مجازی لایه های پایین تر، مهاجم می تواند VM های نصب شده را کنترل نماید مثل BLUEPILL، SubVir و DKSM که حملات به خوبی شناخته شده در لایه مجازی هستند. از طریق این حملات، هکرها می توانند با فوق مجازی نصب شده سازش نموده تا بر کنترل بر میزبان دست یابند.
آسیب پذیری های جدید از قبیل آسیب پذیری روز صفر در ماشین های مجازی (VMها) یافت شده است که مهاجم برای دستیابی به VM های فوق مجازی یا نصب شده آن را مورد حمله قرار می دهد. یک آسیب پذیری روز صفر وضعیتی است که تلاش می کند که آسیب پذیری های برنامه ای را استخراج کند که برای دیگران یا توسعه دهنده نرم افزار ناشناخته است. استخراج روز صفر توسط مهاجمان قبل از اینکه توسعه دهنده نرم افزار هدف در مورد آسیب پذیری آن بداند استفاده شده است. یک آسیب پذیری روز صفر در برنامه مجازی HyperVM استخراج شد که سبب تخریب سرورهای مجازی بر پایه وب سایت بسیاری گردید.

F. حملات کانالی پنهانی
حمله انفعالی به هکرها اجازه می دهد که به دسترسی کنترل شده برای گره های الوده شده دست یابند تا به اطلاعات محرمانه کاربر تراضی نمایند. با استفاده از کانالهای پنهانی، هکرهای می توانند منابع طعمه را کنترل نمایند و می توانند آن را به عنوان یک زامبی بسازند تا به حمله DDoS تلاش نمایند. آن همچنین می تواند برای فاش سازی داده های محرمانه طعمه استفاده شود. به این دلیل سیستم های سازش شده به سختی با اجرای وظایف منظم شان مواجه می شوند. در محیط ابری، مهاجم می تواند به دسترسی و کنترل منابع کاربران ابری از طریق کانال پنهانی دست یابد و VM را به عنوان برای زامبی برای آغاز حمله DoS/DDoS می سازد.
برای ماجمان داخلی، راه حل های بازرسی گذرگاه های غیر مجاز تایید شده می تواند به طور بهینه استفاده شود. برای ممانعت از حمله بر VM/فوق مجازی، بر خلاف قاعده فنون بازرسی گذرگاه های غیر مجاز پایه می تواند استفاده شود. برای حمله ظغیانی و حمله کانالی پنهانی یا بازرسی گذرگاهی غیر مجاز یا فنون بازرسی گذرگاهی غیر مجاز پایه می تواند مورد استفاده قرار گیرد. فایروال (در محیط ابری) می تواند راه حل معمول برای ممانعت از برخی حملات فهرست شده در بالا باشد. چندین فن بازرسی گذرگاهی غیر مجاز در بخش 4 بحث می شود.

3. فایروال ها: راه حلی عام برای گذرگاه های غیر مجاز
فایروال از نقاط دسترسی رو به جلوی سیستم محافظت می کند و به عنوان خط مقدم دفاعی عمل می کند. فایروال ها پیش از این پروتکل ها، پورت ها یا ادرس های IP را رد یا قبول می کردند. که آن ترافیک ورودی را بر اساس سیاست از پیش تعریف شده دایورت یا معطوف می کنند. نصف وایروال پایه در شکل 1 نشان داده شده است که در نقطه ورودی سرورها نصب شده است. چندین نوع فایروال در منبع 19 مورد بحث قرار گرفته است.
در جدول I ما خلاصه ای از فایروال های مختلف استفاده شده در شبکه را با هدف امنیتی فراهم نمودیم. وقتی که فایروال بسته های شبکه را در مرز شبکه شناسایی می کند، مهاجم های داخلی نمی تواند توسط فایروال های قدیمی شناسایی شود. تعدادی از ماجم های DoS یا DDoS همچنین پیچیدگی زیادی برای شناسایی با استفاده از فایروالهای قدیمی دارند. به عنوان مثال اگر مهاجمی در پورت 80 وجود دارد (سرویس وب)، فایروال های نمی توانند ترافیک خوب را از ترافیک مهاجمی DoS تشخیص دهند.
راه حل دیگر پیوستن IDS یا IPS در محیط ابری است. اما کارامدی IDS/IPS بستگی به پارامترهایی مثل فنون استفاده شده در IDS ، موقعیتش در شبکه ، پیکربندی اش و غیره دارد.

4. فنون IDS و IPS: سیر تکاملی
فنون IDS/IPS قدیمی همچون شناسایی بر پایه امضا، شناسایی غیر متعارف، شناسایی بر پایه جاسوسی جعلی (AI) و غیره می تواند برای محیط ابری استفاده شود.

A. شناسایی بر پایه امضا
شناسایی گذرگاه های غیر مجاز بر پایه امضا تلاش بر تعریف مجموعه قواعد یا تصدیق یا دانش پیش تعریف شده دارد که بتواند برای الگوی داده شده که یک مزاحم است تصمیم بگیرد. به عنوان یک نتیجه، سیستم های بر مبنای امضا قادر به دستیابی به سطوح بالای دقت و حداقل تعداد قطعیت های غیر مجاز در تشخیص هر گذرگاه های غیر مجاز قطعی هستند. تنوع اندک در مهاجم های شناخته شده ممکن است همچنین بر تحلیل اثر گذارد اگر سیستم شناسایی کاملا پیکره بندی نشده باشد. بنابراین شناسایی بر مبنای امضا راه حلی موثر برای شناسایی مهاجم های شناخته شده است اما برای شناسایی مهاجم های ناشناخته یا انواع مهاجم های شناخته شده ناقص است. یکی از دلایل محرک برای استفاده از شناسایی ببر پایه امضا راحتی در حفظ و به روز سازی احکام پیش پیکره بندی شده است. این امضاها مشتمل بر چندین جز است که ترافیک را تشخیص می دهد. برای مثال در SNORT بخشی از امضا در سر صفحه است (مثل آدرس منبع، آدرس مقصد، پورت ها) و گزینه هایش (مثل پی لود، متادیتا) که برای تعیین متناظرهای ترافیکی شیکه برای یک امضای شناخته شده استفاده می شود. داستاوان و همکارانش برخی برایندهای سیستم ممانعت گذرگاه های غیر مجاز را ارائه داده و چهرچوب های محتمل مختلفی نشان دادند.
در محیط ابری، فن شناسایی تداخل بر پایه امضا می تواند برای شناسایی مهاجم شناخته شده استفاده شود. آن می تواند در انتهای محیط ابری برای شناسایی گذرگاه های غیر مجاز خارجی با در ابتدای محیط ابری برای گذرگاه های غیر مجاز خارجی/داخلی استفاده شود. مثل شبکه قدیمی، آن نمی تواند برای شناسایی حملات ناشناخته در محیط ابری استفاده شود. شیوه های ارائه شده در منابع 56، 57، 59 و 62 سیستم شناسایی گذرگاه های غیر مجاز بر پایه امضا را برای شناسایی گذرگاه های غیر مجاز در VM ها ارائه می دهد (انتهای محیط ابری). این شیوه ها در بخش بعدی بحث شده است.