تشخیص ناهنجاری (anomaly) موضوعی حیاتی در سیستم های تشخیص نفوذ به شبکه است (NIDS) . بسیاری از NIDS های مبتنی بر ناهنجاری «الگوریتمهای پیش نظارت شده » را بکار می گیرند که میزان کارایی این الگوریتمها بسیار وابسته به دادها های تمرینی عاری از خطا میباشد . این در حالی است که در محیط های واقعی و در شبکه های واقعی تهیه اینگونه داده ها بسیار مشکل است . علاوه بر اینها ، وقتی محیط شبکه یا سرویسها تغییر کند الگوهای ترافیک عادی هم تغییر خواهد کرد .
این مساله به بالا رفتن نرخ مثبت نمایی در NIDS های پیش نظارت شده منجر می شود . تشخیص یک انحراف کامل (outlier) پیش نظارت نشده میتواند بر موانعی که در راه تشخیص ناهنجاری های پیش نظارت شده وجود دارد غلبه کند . به همین دلیل ما الگوریتم « جنگلهای تصادفی » را که یکی از الگوریتمهای کار امد برای استخراج داده است به خدمت گرفته ایم و آن را در NIDS های مبتنی بر ناهنجاری اعمال کرده ایم . این الگوریتم میتواند بدون نیاز به داده های تمرینی عاری از خطا outlier ها را در مجموعه داده های ترافیک شبکه تشخیص دهد . ما برای تشخیص نفوذهای ناهنجار به شبکه از یک چارچوب کاری استفاده کرده ایم و در این مقاله به شرح همین چارچوب کاری میپردازیم .
در این چارچوب کاری ، الگوی سرویسهای شبکه از روی داده های ترافیکی و با استفاده از الگوریتم جنگلهای تصادفی ساخته شده است . توسط outler تعیین شده ای که با این الگوهای ساخته شده مرتبط هستند نفوذها تشخیص داده می شوند. ما نشان میدهیم که چه اصلاحاتی را روی الگوریتم تشخیص outlier جنگلهای تصادفی انجام دادیم . و همینطور نتایج تجربیات خود را که بر اساس مجموعه داده های KDD 99 انجام شده است گزارش میدهیم .
نتایج نشان میدهد که روش پیشنهادی با سایر روشهای تشخیص ناهنجاری پیش نظارت نشده ای که قبلا گزارش شده اند کاملا قابل مقایسه است . البته روشهایی که بر اساس مجموعه داده های KDD 99 ارزیابی شده اند.
همراه با رشد فوق العاده زیاد سرویسهای مبتنی بر شبکه و وجود اطالعات حساس روی شبکه ها تعداد حملات به کامپیوترهای تحت شبکه و شدت انها نیز به طور محسوسی افزایش یافته است . در حال حاضر طیف وسیعی از تکنولوژیهای امنیتی وجود دارد که میتوانند از سیستم های تحت شبکه محافظت کنند . تکنولوژیهایی مانند رمز نگاری اطلاعات کنترل دسترسیها و جلوگری از نفوذ اما با وجود این تکنولوژیها هنوز هم راههای زیادی برای نفوذ وجود دارد که تا حلل شناسایی نشده است . به همین دلیل سیتسم های تشخیص نفوذ IDS نقشی حیاتی را در امنیت شبکه ایفا می کنند .
سیستم های تشخیص نفوذ به شبکه NIDS فعالیتهای مختلفی که در شبکه انجام می شود را تحت نظر دارد و از این راه حملات را شناسایی می کند . این در حالی است که سیستم های تشخیص نفوذ به سیستم های تحت Host یعنی HIDS نفوذ به یک host منفرد را شناسایی می کند.
دو تکنیک اصلی برای تشخیص ورودهای نابجا وجود دارد . تشخیص کاربردهای نادرست و تشخیص ناهنجاری anomaly تشخیص کاربردهای نادرست بر اساس الگوهای استخراج شده از نفوذهای شناخته شده حملات را کشف می کند . در روش تشخیص ناهنجاری برای شناسایی حملات به این روش عمل می کند که یکسری پروفایلهایی را برای فعالیتهای عادی ایجاد می کند و سپس بر اسسا این پروفایلها موارد انحراف را تعیین می کند . فعالیتهایی که از حد تعیین شده برای انحرافات فراتر رود جزء حملات شناخته می شوند .
در تکنیک تشخیص کاربردهای نادرست نرخ مثبت نمایی پائین است . اما این تکنیک نمی تواند حملاتی از انواع جدید را شناسایی کند . تکنیک تشخیص ناهنجاری میتواند حملات ناشناخته را کشف کند با این پیش فرض که این حملات ناشی از منحرف شدن از رفتارهای عادی هستند.