Adaptive Real-time Anomaly-based Intrusion Detection using Data Mining and Machine Learning Techniques

Die zunehmende Vernetzung der Informations- und Kommunikationssysteme führt zu einer weiteren Erhöhung der Komplexität und damit auch zu einer weiteren Zunahme von Sicherheitslücken. Klassische Schutzmechanismen wie Firewall-Systeme und Anti-Malware-Lösungen bieten schon lange keinen Schutz mehr vor Eindringversuchen in IT-Infrastrukturen. Als ein sehr wirkungsvolles Instrument zum Schutz gegenüber Cyber-Attacken haben sich hierbei die Intrusion Detection Systeme (IDS) etabliert. Solche Systeme sammeln und analysieren Informationen von Netzwerkkomponenten und Rechnern, um ungewöhnliches Verhalten und Sicherheitsverletzungen automatisiert festzustellen. Während signatur-basierte Ansätze nur bereits bekannte Angriffsmuster detektieren können, sind anomalie-basierte IDS auch in der Lage, neue bisher unbekannte Angriffe (Zero-Day-Attacks) frühzeitig zu erkennen. Das Kernproblem von Intrusion Detection Systeme besteht jedoch in der optimalen Verarbeitung der gewaltigen Netzdaten und der Entwicklung eines in Echtzeit arbeitenden adaptiven Erkennungsmodells. Um diese Herausforderungen lösen zu können, stellt diese Dissertation ein Framework bereit, das aus zwei Hauptteilen besteht. Der erste Teil, OptiFilter genannt, verwendet ein dynamisches "Queuing Concept", um die zahlreich anfallenden Netzdaten weiter zu verarbeiten, baut fortlaufend Netzverbindungen auf, und exportiert strukturierte Input-Daten für das IDS. Den zweiten Teil stellt ein adaptiver Klassifikator dar, der ein Klassifikator-Modell basierend auf "Enhanced Growing Hierarchical Self Organizing Map" (EGHSOM), ein Modell für Netzwerk Normalzustand (NNB) und ein "Update Model" umfasst. In dem OptiFilter werden Tcpdump und SNMP traps benutzt, um die Netzwerkpakete und Hostereignisse fortlaufend zu aggregieren. Diese aggregierten Netzwerkpackete und Hostereignisse werden weiter analysiert und in Verbindungsvektoren umgewandelt. Zur Verbesserung der Erkennungsrate des adaptiven Klassifikators wird das künstliche neuronale Netz GHSOM intensiv untersucht und wesentlich weiterentwickelt. In dieser Dissertation werden unterschiedliche Ansätze vorgeschlagen und diskutiert. So wird eine classification-confidence margin threshold definiert, um die unbekannten bösartigen Verbindungen aufzudecken, die Stabilität der Wachstumstopologie durch neuartige Ansätze für die Initialisierung der Gewichtvektoren und durch die Stärkung der Winner Neuronen erhöht, und ein selbst-adaptives Verfahren eingeführt, um das Modell ständig aktualisieren zu können. Darüber hinaus besteht die Hauptaufgabe des NNB-Modells in der weiteren Untersuchung der erkannten unbekannten Verbindungen von der EGHSOM und der Überprüfung, ob sie normal sind. Jedoch, ändern sich die Netzverkehrsdaten wegen des Concept drif Phänomens ständig, was in Echtzeit zur Erzeugung nicht stationärer Netzdaten führt. Dieses Phänomen wird von dem Update-Modell besser kontrolliert. Das EGHSOM-Modell kann die neuen Anomalien effektiv erkennen und das NNB-Model passt die Änderungen in Netzdaten optimal an. Bei den experimentellen Untersuchungen hat das Framework erfolgversprechende Ergebnisse gezeigt. Im ersten Experiment wurde das Framework in Offline-Betriebsmodus evaluiert. Der OptiFilter wurde mit offline-, synthetischen- und realistischen Daten ausgewertet. Der adaptive Klassifikator wurde mit dem 10-Fold Cross Validation Verfahren evaluiert, um dessen Genauigkeit abzuschätzen. Im zweiten Experiment wurde das Framework auf einer 1 bis 10 GB Netzwerkstrecke installiert und im Online-Betriebsmodus in Echtzeit ausgewertet. Der OptiFilter hat erfolgreich die gewaltige Menge von Netzdaten in die strukturierten Verbindungsvektoren umgewandelt und der adaptive Klassifikator hat sie präzise klassifiziert. Die Vergleichsstudie zwischen dem entwickelten Framework und anderen bekannten IDS-Ansätzen zeigt, dass der vorgeschlagene IDSFramework alle anderen Ansätze übertrifft. Dies lässt sich auf folgende Kernpunkte zurückführen: Bearbeitung der gesammelten Netzdaten, Erreichung der besten Performanz (wie die Gesamtgenauigkeit), Detektieren unbekannter Verbindungen und Entwicklung des in Echtzeit arbeitenden Erkennungsmodells von Eindringversuchen.

Förderung des Leseverständnisses durch Lesestrategien: Eine Interventionsstudie in der Grundschule

Anliegen dieser Dissertation ist die Untersuchung des Einflusses eines Lesestrategietrainings auf die Entwicklung des Leseverständnisses in den Klassen 2 und 4. In einer experimentellen Studie mit Prä-Post-Test-Design wurde die Wirksamkeit eines 25 Sitzungen umfassenden Trainings der Strategien Vorhersagen, kleinschrittiges Wiederholen und Zusammenfassen den Effekten einer lesefernen Kontrollbedingung gegenübergestellt. Die Lesestrategien wurden peergestützt vermittelt, d. h. in Dyaden aus einem leseschwächeren und einem lesestärkeren Kind. In drei Teilstudien wurden Fragestellungen zur differenzierten Analyse der Trainingswirksamkeit untersucht: (1) Wird die Trainingswirksamkeit durch die Effizienz der Worterkennungsprozesse beeinflusst?, (2) Kann die Entwicklung der Leseflüssigkeit durch das Lesestrategietraining gefördert werden? und (3) Können leseschwache Kinder von der Zusammenarbeit mit lesestärkeren Tutor(inn)en hinsichtlich der Verbesserung ihres Leseverständnisses profitieren?. Die Ergebnisse dieser Dissertation sprechen dafür, dass das eingesetzte peergestützte Lesestrategietraining das Leseverständnis und die Leseflüssigkeit von Zweit- und Viertklässler(inne)n unter bestimmten Voraussetzungen positiv beeinflussen konnte. Die Leseleistungen vor dem Training, die Effizienz der Worterkennungsprozesse und die Rolle im dyadischen Lernen erwiesen sich als relevante Einflussfaktoren für die Wirksamkeit des Strategietrainings. Zweitklässler(innen), die aufgrund guter Prä-Test Leseleistungen die Tutor(inn)enrolle erhielten, konnten ihr Leseverständnis gegenüber Kindern mit gleichen Leseleistungen in der Kontrollbedingung signifikant steigern. Leseschwache Zweitklässler(innen) hingegen schienen nur bei (relativ) effizienten Worterkennungsprozessen die Lesestrategien zur Steigerung ihres globalen Leseverständnisses nutzen zu können, wobei sie keinen Zugewinn aus der dyadischen Zusammenarbeit ziehen konnten. Bei ineffizienten Worterkennungsprozessen hatte das Strategietraining negative Auswirkungen auf das allgemeine Leseverständnis. Anders in Klasse 4: Kinder, die aufgrund unterdurchschnittlicher Leseleistungen im Prä-Test als Tutand(inn)en am Training teilnahmen, verbesserten ihr Leseverständnis und konnten dabei von der Zusammenarbeit mit lesestarken Tutor(inn)en profitieren. Für die Tutor(inn)en in Klasse 4 zeigte sich kein Effekt des Strategietrainings gegenüber der Kontrollgruppe. In beiden Klassenstufen stellte sich im Verlauf des Strategietrainings eine schnellere Entwicklung der Leseflüssigkeit der schwachen Leser(innen) ein. Zusammengefasst erzielte das Training die größten Effekte für gute Leser(innen) in Klasse 2 und schwache Leser(innen) in Klasse 4 – beide Gruppen konnten ihr Leseverständnis praktisch bedeutsam gegenüber Kindern mit gleichen Leseleistungen in der Kontrollbedingung steigern.

eLearning im Sportstudium

In der gesamten Hochschullandschaft begleiten eLearning-Szenarien organisatorische Erneuerungsprozesse und stellen damit ein vielversprechendes Instrument zur Unterstützung und Verbesserung der klassischen Präsenzlehre dar. Davon ausgehend wurde von 2010 bis 2011 das Kasseler Sportspiel-Modell um die integrative Vermittlung der Einkontakt-Rückschlagspiele erweitert (Heyer, Albert, Scheid & Blömeke-Rumpf, 2011) und in einen modularisierten eLearning-Content, bestehend aus insgesamt 4 Modulen (17 Lernkurse, 171 Kursseiten, 73 Grafiken, 73 Videos, 38 Lernkontrollfragen), eingebunden. Dieser Content wurde im Rahmen einer Evaluationsstudie in Blended Learning Seminaren, welche die didaktischen Vorteile von Online- und Präsenzphasen zu einer Seminarform vereinen (Treumann, Ganguin & Arens, 2012), vergleichend zur klassischen Präsenzlehre im Sportstudium betrachtet. Die Studie gliedert sich in insgesamt drei Phasen: 1.) Pilotstudie am IfSS in Kassel (WS 2011/12; N=17, Lehramt), 2.) Hauptuntersuchung I am IfSS in Kassel (SS 2012; N=67, Lehramt) und 3.) Hauptuntersuchung II am IfS in Frankfurt a. M. (WS 2012/13; N=112, BA). Mittels varianzanalytischer Untersuchungsverfahren erfasst die Studie auf drei unterschiedlichen Qualitätsebenen folgende Aspekte der Lehr-Lernforschung: 1.) Ebene der Inputqualität: Bewertung der Seminarform (BS), 2.) Ebene der Prozessqualität: Motivation (SELLMO-ST), Lernstrategien (LIST) und computerbezogene Einstellung (FIDEC), 3.) Ebene der Outcomequalität: Lernleistung (Abschlusstest und Transferaufgabe). In der vergleichenden Betrachtung der beiden Hauptuntersuchungen erfolgt eine Gegenüberstellung von je einem Präsenzseminar zu zwei unterschiedlichen Varianten von Blended Learning Seminaren (BL-1, BL-2). Während der Online-Phasen bearbeiten die Sportstudierenden in BL-1 die Module in Lerngruppen. Die Teilnehmer in BL-2 führen in diesen Phasen zusätzlich persönliche Lerntagebücher. Dies soll zu einer vergleichsweise intensiveren Auseinandersetzung mit den Inhalten der Lernkurse sowie dem eigenen Lernprozess auf kognitiver und metakognitiver Ebene anregen (Hübner, Nückles & Renkl, 2007) und folglich zu besseren Ergebnissen auf den drei Qualitätsebenen führen. Die Ergebnisse der beiden Hauptuntersuchungen zeigen in der direkten, standortbezogenen Gegenüberstellung aller drei Seminarformen überwiegend keine statistisch signifikanten Unterschiede. Der erwartete positive Effekt durch die Einführung des Lerntagebuchs bleibt ebenfalls aus. Im standortübergreifenden Vergleich der Blended-Learning-Seminare ist bemerkenswert, dass die Probanden aus Frankfurt gegenüber ihrer Seminarform eine tendenziell kritischere Haltung einnehmen, was möglicherweise mit den vorherrschenden, unterschiedlichen Studiengängen – Lehramt und BA – korrespondiert. Zusammenfassend lässt sich somit für den untersuchten Bereich der Rückschlagspielvermittlung festhalten, dass Blended-Learning-Seminare eine qualitativ gleichwertige Alternative zur klassischen Präsenzlehre im Sportstudium darstellen.

From evolution to co-evolution – An empirical study of the role of innovation, policy and public research in industrial dynamics

In the past decades since Schumpeter’s influential writings economists have pursued research to examine the role of innovation in certain industries on firm as well as on industry level. Researchers describe innovations as the main trigger of industry dynamics, while policy makers argue that research and education are directly linked to economic growth and welfare. Thus, research and education are an important objective of public policy. Firms and public research are regarded as the main actors which are relevant for the creation of new knowledge. This knowledge is finally brought to the market through innovations. What is more, policy makers support innovations. Both actors, i.e. policy makers and researchers, agree that innovation plays a central role but researchers still neglect the role that public policy plays in the field of industrial dynamics. Therefore, the main objective of this work is to learn more about the interdependencies of innovation, policy and public research in industrial dynamics. The overarching research question of this dissertation asks whether it is possible to analyze patterns of industry evolution – from evolution to co-evolution – based on empirical studies of the role of innovation, policy and public research in industrial dynamics. This work starts with a hypothesis-based investigation of traditional approaches of industrial dynamics. Namely, the testing of a basic assumption of the core models of industrial dynamics and the analysis of the evolutionary patterns – though with an industry which is driven by public policy as example. Subsequently it moves to a more explorative approach, investigating co-evolutionary processes. The underlying questions of the research include the following: Do large firms have an advantage because of their size which is attributable to cost spreading? Do firms that plan to grow have more innovations? What role does public policy play for the evolutionary patterns of an industry? Are the same evolutionary patterns observable as those described in the ILC theories? And is it possible to observe regional co-evolutionary processes of science, innovation and industry evolution? Based on two different empirical contexts – namely the laser and the photovoltaic industry – this dissertation tries to answer these questions and combines an evolutionary approach with a co-evolutionary approach. The first chapter starts with an introduction of the topic and the fields this dissertation is based on. The second chapter provides a new test of the Cohen and Klepper (1996) model of cost spreading, which explains the relationship between innovation, firm size and R&D, at the example of the photovoltaic industry in Germany. First, it is analyzed whether the cost spreading mechanism serves as an explanation for size advantages in this industry. This is related to the assumption that the incentives to invest in R&D increase with the ex-ante output. Furthermore, it is investigated whether firms that plan to grow will have more innovative activities. The results indicate that cost spreading serves as an explanation for size advantages in this industry and, furthermore, growth plans lead to higher amount of innovative activities. What is more, the role public policy plays for industry evolution is not finally analyzed in the field of industrial dynamics. In the case of Germany, the introduction of demand inducing policy instruments stimulated market and industry growth. While this policy immediately accelerated market volume, the effect on industry evolution is more ambiguous. Thus, chapter three analyzes this relationship by considering a model of industry evolution, where demand-inducing policies will be discussed as a possible trigger of development. The findings suggest that these instruments can take the same effect as a technical advance to foster the growth of an industry and its shakeout. The fourth chapter explores the regional co-evolution of firm population size, private-sector patenting and public research in the empirical context of German laser research and manufacturing over more than 40 years from the emergence of the industry to the mid-2000s. The qualitative as well as quantitative evidence is suggestive of a co-evolutionary process of mutual interdependence rather than a unidirectional effect of public research on private-sector activities. Chapter five concludes with a summary, the contribution of this work as well as the implications and an outlook of further possible research.

Von der Bohne zur Tafel - Auf den Spuren der Kakaobohne in Witzenhausen

Diese Abschlussarbeit im Rahmen meines ersten Staatsexamens ist in Zusammenarbeit mit dem außerschulischen Lernort Witzenhausen entstanden. Der erste Teil umfasst die wissenschaftliche Grundlage für den zweiten, der eine theoretische Konzeption eines Moduls darstellt. Die „Kakaorallye“ wird gegenwärtig als außerschulisches Lernmodul im „Tropengewächshaus Witzenhausen“ und dem „EineWelt“-Laden angeboten. Der erste Part, die wissenschaftlichen Grundlagen, enthalten Basisinformationen zum Kakao bzw. zu dessen Wertschöpfungskette im Allgemeinen. Des Weiteren wird unter dem didaktischen Aspekt der Arbeit außerschulisches Lernen hinsichtlich des Begriffs, der Historie, Merkmale und seiner Vor- und Nachteile großflächig erläutert. Ein weiterer Aspekt, auf den ich im Kontext mit der Thematik detailliert eingegangen wird, ist BNE (Bildung nachhaltiger Entwicklung). Entsprechend der wissenschaftlichen Grundlagen umfasst der zweiten Teil die theoretische Darstellung der „Kakaorallye“. Die Konzeption basiert auf dem Anhang der Arbeit, der u.a. viele Arbeitsblätter und Texte enthält, die auch im formalen Schulrahmen eine vielseitige Verwendung finden können.

De la désorganisation à l’organisation apprenante en milieu rural

ZUSAMMENFASSUNG Von der „Chaosgruppe“ zur lernenden Organisation. Fallstudien zur Induzierung und Verbreitung von Innovation in ländlichen Kleinorganisationen im Buruli (Zentral-Uganda). Die oft fehlende Nachhaltigkeit landwirtschaftlicher Projekte in Afrika allgemein und in Buruli (Zentral-Uganda) insbesondere gab den Anstoß zu der Forschung, die der vorliegenden Dissertation zugrunde liegt. Ein häufiger Grund für das Scheitern von Projekten ist, dass die lokale Bevölkerung die landwirtschaftliche Innovation als Risiko für die Ernährungssicherheit der Familie betrachtet. Die vorliegende Arbeit ist daher ein Beitrag zur Suche nach einem Weg zur Nachhaltigkeit, der dieser Tatsache Rechnung trägt. Als Forschungsmethode wurden die Gruppendiskussion und die Beobachtung mit den beiden Varianten „teilnehmender Beobachter“ und „beobachtender Teilnehmer“ gemäß Lamnek(1995b) angewendet. Es stellte sich heraus, dass die ablehnende Haltung der Zielbevölkerung landwirtschaftlicher Innovation gegenüber durch finanzielle Anreize, Seminare oder die Überzeugungskunst von Mitarbeitern der Entwicklungsorganisationen kaum behoben werden kann, sondern nur durch den Einbezug der Menschen in einen von ihnen selbst gesteuerten Risikomanagementprozess. Die Prozessberatung von Schein (2000) und die nichtdirektive Beratung von Rogers (2010) haben sich im Rahmen unserer Untersuchung für die Motivierung der Bevölkerung für eine risikobewusste Entwicklungsinitiative von großem Nutzen erwiesen ebenso wie für die Beschreibung dieses Prozesses in der vorliegenden Studie. Die untersuchten Gruppen wurden durch diesen innovativen Ansatz der Entwicklungsberatung in die Lage versetzt, das Risiko von Innovation zu analysieren, zu bewerten und zu minimieren, ihre Zukunft selbst in die Hand zu nehmen und in einem sozialen, ökonomischen und physischen Umfeld zu gestalten sowie auf Veränderungen im Laufe der Umsetzung angemessen zu reagieren. Der Erwerb dieser Fähigkeit setzte eine Umwandlung einfacher Bauerngruppen ohne erkennbare Strukturen in strukturierte und organisierte Gruppen voraus, die einer lernenden Organisation im ländlichen Raum entsprechen. Diese Transformation bedarf als erstes eines Zugangs zur Information und einer zielorientierten Kommunikation. Die Umwandlung der Arbeitsgruppe zu einer lernenden Bauernorganisation förderte die Nachhaltigkeit des Gemüseanbauprojekts und das Risikomanagement und wurde so zu einem konkreten, von der Umwelt wahrgenommenen Beispiel für die Zweckmäßigkeit des oben beschriebenen Forschungsansatzes. Die Herausbildung einer lernenden Organisation ist dabei nicht Mittel zum Zweck, sondern ist selbst das zu erreichende Ziel. Die Beobachtung, Begleitung und Analyse dieses Umwandlungsprozesses erfordert einen multidisziplinären Ansatz. In diesem Fall flossen agrarwissenschaftliche, soziologische, linguistische und anthropologische Perspektiven in die partnerschaftlich ausgerichtete Forschung ein. Von der Entwicklungspolitik erfordert dieser Ansatz einen neuen Weg, der auf der Partnerschaft mit den Betroffenen und auf einer Entemotionalisierung des Entwicklungsvorhabens basiert und eine gegenseitige Wertschätzung zwischen den Akteuren voraussetzt. In diesem Prozess entwickelt sich im Laufe der Zeit die „lernende“ Bauernorganisation auch zu einer „lehrenden“ Organisation und wird dadurch eine Quelle der Inspiration für die Gesamtgesellschaft. Die Nachhaltigkeit von ländlichen Entwicklungsprojekten wird damit maßgeblich verbessert.