Adaptive Real-time Anomaly-based Intrusion Detection using Data Mining and Machine Learning Techniques

Die zunehmende Vernetzung der Informations- und Kommunikationssysteme führt zu einer weiteren Erhöhung der Komplexität und damit auch zu einer weiteren Zunahme von Sicherheitslücken. Klassische Schutzmechanismen wie Firewall-Systeme und Anti-Malware-Lösungen bieten schon lange keinen Schutz mehr vor Eindringversuchen in IT-Infrastrukturen. Als ein sehr wirkungsvolles Instrument zum Schutz gegenüber Cyber-Attacken haben sich hierbei die Intrusion Detection Systeme (IDS) etabliert. Solche Systeme sammeln und analysieren Informationen von Netzwerkkomponenten und Rechnern, um ungewöhnliches Verhalten und Sicherheitsverletzungen automatisiert festzustellen. Während signatur-basierte Ansätze nur bereits bekannte Angriffsmuster detektieren können, sind anomalie-basierte IDS auch in der Lage, neue bisher unbekannte Angriffe (Zero-Day-Attacks) frühzeitig zu erkennen. Das Kernproblem von Intrusion Detection Systeme besteht jedoch in der optimalen Verarbeitung der gewaltigen Netzdaten und der Entwicklung eines in Echtzeit arbeitenden adaptiven Erkennungsmodells. Um diese Herausforderungen lösen zu können, stellt diese Dissertation ein Framework bereit, das aus zwei Hauptteilen besteht. Der erste Teil, OptiFilter genannt, verwendet ein dynamisches "Queuing Concept", um die zahlreich anfallenden Netzdaten weiter zu verarbeiten, baut fortlaufend Netzverbindungen auf, und exportiert strukturierte Input-Daten für das IDS. Den zweiten Teil stellt ein adaptiver Klassifikator dar, der ein Klassifikator-Modell basierend auf "Enhanced Growing Hierarchical Self Organizing Map" (EGHSOM), ein Modell für Netzwerk Normalzustand (NNB) und ein "Update Model" umfasst. In dem OptiFilter werden Tcpdump und SNMP traps benutzt, um die Netzwerkpakete und Hostereignisse fortlaufend zu aggregieren. Diese aggregierten Netzwerkpackete und Hostereignisse werden weiter analysiert und in Verbindungsvektoren umgewandelt. Zur Verbesserung der Erkennungsrate des adaptiven Klassifikators wird das künstliche neuronale Netz GHSOM intensiv untersucht und wesentlich weiterentwickelt. In dieser Dissertation werden unterschiedliche Ansätze vorgeschlagen und diskutiert. So wird eine classification-confidence margin threshold definiert, um die unbekannten bösartigen Verbindungen aufzudecken, die Stabilität der Wachstumstopologie durch neuartige Ansätze für die Initialisierung der Gewichtvektoren und durch die Stärkung der Winner Neuronen erhöht, und ein selbst-adaptives Verfahren eingeführt, um das Modell ständig aktualisieren zu können. Darüber hinaus besteht die Hauptaufgabe des NNB-Modells in der weiteren Untersuchung der erkannten unbekannten Verbindungen von der EGHSOM und der Überprüfung, ob sie normal sind. Jedoch, ändern sich die Netzverkehrsdaten wegen des Concept drif Phänomens ständig, was in Echtzeit zur Erzeugung nicht stationärer Netzdaten führt. Dieses Phänomen wird von dem Update-Modell besser kontrolliert. Das EGHSOM-Modell kann die neuen Anomalien effektiv erkennen und das NNB-Model passt die Änderungen in Netzdaten optimal an. Bei den experimentellen Untersuchungen hat das Framework erfolgversprechende Ergebnisse gezeigt. Im ersten Experiment wurde das Framework in Offline-Betriebsmodus evaluiert. Der OptiFilter wurde mit offline-, synthetischen- und realistischen Daten ausgewertet. Der adaptive Klassifikator wurde mit dem 10-Fold Cross Validation Verfahren evaluiert, um dessen Genauigkeit abzuschätzen. Im zweiten Experiment wurde das Framework auf einer 1 bis 10 GB Netzwerkstrecke installiert und im Online-Betriebsmodus in Echtzeit ausgewertet. Der OptiFilter hat erfolgreich die gewaltige Menge von Netzdaten in die strukturierten Verbindungsvektoren umgewandelt und der adaptive Klassifikator hat sie präzise klassifiziert. Die Vergleichsstudie zwischen dem entwickelten Framework und anderen bekannten IDS-Ansätzen zeigt, dass der vorgeschlagene IDSFramework alle anderen Ansätze übertrifft. Dies lässt sich auf folgende Kernpunkte zurückführen: Bearbeitung der gesammelten Netzdaten, Erreichung der besten Performanz (wie die Gesamtgenauigkeit), Detektieren unbekannter Verbindungen und Entwicklung des in Echtzeit arbeitenden Erkennungsmodells von Eindringversuchen.

Semantic network analysis of ontologies

A key argument for modeling knowledge in ontologies is the easy re-use and re-engineering of the knowledge. However, beside consistency checking, current ontology engineering tools provide only basic functionalities for analyzing ontologies. Since ontologies can be considered as (labeled, directed) graphs, graph analysis techniques are a suitable answer for this need. Graph analysis has been performed by sociologists for over 60 years, and resulted in the vivid research area of Social Network Analysis (SNA). While social network structures in general currently receive high attention in the Semantic Web community, there are only very few SNA applications up to now, and virtually none for analyzing the structure of ontologies. We illustrate in this paper the benefits of applying SNA to ontologies and the Semantic Web, and discuss which research topics arise on the edge between the two areas. In particular, we discuss how different notions of centrality describe the core content and structure of an ontology. From the rather simple notion of degree centrality over betweenness centrality to the more complex eigenvector centrality based on Hermitian matrices, we illustrate the insights these measures provide on two ontologies, which are different in purpose, scope, and size.

Network properties of folksonomies

Social resource sharing systems like YouTube and del.icio.us have acquired a large number of users within the last few years. They provide rich resources for data analysis, information retrieval, and knowledge discovery applications. A first step towards this end is to gain better insights into content and structure of these systems. In this paper, we will analyse the main network characteristics of two of the systems. We consider their underlying data structures – socalled folksonomies – as tri-partite hypergraphs, and adapt classical network measures like characteristic path length and clustering coefficient to them. Subsequently, we introduce a network of tag co-occurrence and investigate some of its statistical properties, focusing on correlations in node connectivity and pointing out features that reflect emergent semantics within the folksonomy. We show that simple statistical indicators unambiguously spot non-social behavior such as spam.

Network properties of folksonomies

Social resource sharing systems like YouTube and del.icio.us have acquired a large number of users within the last few years. They provide rich resources for data analysis, information retrieval, and knowledge discovery applications. A first step towards this end is to gain better insights into content and structure of these systems. In this paper, we will analyse the main network characteristics of two of these systems. We consider their underlying data structures – so-called folksonomies – as tri-partite hypergraphs, and adapt classical network measures like characteristic path length and clustering coefficient to them. Subsequently, we introduce a network of tag cooccurrence and investigate some of its statistical properties, focusing on correlations in node connectivity and pointing out features that reflect emergent semantics within the folksonomy. We show that simple statistical indicators unambiguously spot non-social behavior such as spam.

Smallholder group certification in Uganda - Analysis of internal control systems in two organic export companies

The organic agricultural sector of Uganda is among the most developed in Africa in terms of its professional institutional network and high growth rates of number of certified farmers and land area. Smallholder farmers are certified organic through contract production for export companies using a group certification scheme (internal control system - ICS). The ICS is a viable and well-accepted tool to certify small-scale producers in developing countries all over the world. Difficulties in certification are still stated to be among the main constraints for Uganda’s organic sector development. Therefore, this paper reports a qualitative case study comprising 34 expert interviews in two organic fresh-produce export companies in central Uganda, aiming to explore the challenges which underlie organic certification with ICS. The study shows that farmers cannot be labelled as ‘organic by default’ but deliberately engage in organic production as a marketing strategy. The small quantities purchased by the organic companies lead to a difficult marketing situation for the farmers, causing production and infiltration risks on the farm level. These risks require increased control that challenges the companies organizationally. The risks and control needs are a reason to involve farmers in ICS procedures and innovatively adapt the ICS by means of a bypass around formal perspective restrictions. The paper discusses different perspectives on risks, risk control and certification.

Semi-algebraic methods for symbolic analysis of complex reaction networks

The identification of chemical mechanism that can exhibit oscillatory phenomena in reaction networks are currently of intense interest. In particular, the parametric question of the existence of Hopf bifurcations has gained increasing popularity due to its relation to the oscillatory behavior around the fixed points. However, the detection of oscillations in high-dimensional systems and systems with constraints by the available symbolic methods has proven to be difficult. The development of new efficient methods are therefore required to tackle the complexity caused by the high-dimensionality and non-linearity of these systems. In this thesis, we mainly present efficient algorithmic methods to detect Hopf bifurcation fixed points in (bio)-chemical reaction networks with symbolic rate constants, thereby yielding information about their oscillatory behavior of the networks. The methods use the representations of the systems on convex coordinates that arise from stoichiometric network analysis. One of the methods called HoCoQ reduces the problem of determining the existence of Hopf bifurcation fixed points to a first-order formula over the ordered field of the reals that can then be solved using computational-logic packages. The second method called HoCaT uses ideas from tropical geometry to formulate a more efficient method that is incomplete in theory but worked very well for the attempted high-dimensional models involving more than 20 chemical species. The instability of reaction networks may lead to the oscillatory behaviour. Therefore, we investigate some criterions for their stability using convex coordinates and quantifier elimination techniques. We also study Muldowney's extension of the classical Bendixson-Dulac criterion for excluding periodic orbits to higher dimensions for polynomial vector fields and we discuss the use of simple conservation constraints and the use of parametric constraints for describing simple convex polytopes on which periodic orbits can be excluded by Muldowney's criteria. All developed algorithms have been integrated into a common software framework called PoCaB (platform to explore bio- chemical reaction networks by algebraic methods) allowing for automated computation workflows from the problem descriptions. PoCaB also contains a database for the algebraic entities computed from the models of chemical reaction networks.

Finding Spaces for Urban Food Production – Matching Spatial and Stakeholder Analysis with Urban Agriculture Approaches in the Urban Renewal Area of Dortmund-Hörde, Germany

Using the case of an economically declined neighbourhood in the post-industrial German Ruhr Area (sometimes characterized as Germany’s “Rust Belt”), we analyse, describe and conclude how urban agriculture can be used as a catalyst to stimulate and support urban renewal and regeneration, especially from a socio-cultural perspective. Using the methodological framework of participatory action research, and linking bottom-up and top-down planning approaches, a project path was developed to include the population affected and foster individual responsibility for their district, as well as to strengthen inhabitants and stakeholder groups in a permanent collective stewardship for the individual forms of urban agriculture developed and implemented. On a more abstract level, the research carried out can be characterized as a form of action research with an intended transgression of the boundaries between research, planning, design, and implementation. We conclude that by synchronously combining those four domains with intense feedback loops, synergies for the academic knowledge on the potential performance of urban agriculture in terms of sustainable development, as well as the benefits for the case-study area and the interests of individual urban gardeners can be achieved.

Physiological analysis of central and peripheral insect circadian pacemaker neurons

Alle bisher untersuchten Lebewesen besitzen (circadiane) innere Uhren, die eine endogene Perioden-länge von ungefähr 24 Stunden generieren. Eine innere Uhr kann über Zeitgeber mit der Umwelt synchronisiert werden und ermöglicht dem Organismus, rhythmische Umweltveränderungen vorweg zu nehmen. Neben einem zentralen Schrittmacher, der Physiologie und Verhalten des Organismus steuert, gibt es in unterschiedlichen Organen auch periphere Uhren, die die zeitlichen Abläufe in der spezifischen Funktion dieser Organe steuern. In dieser Arbeit sollten zentrale und periphere Schrittmacherneurone von Insekten physiologisch untersucht und verglichen werden. Die Neurone der akzessorischen Medulla (AME) von Rhyparobia maderae dienten als Modellsystem für zentrale Schrittmacher, während olfaktorische Rezeptorneurone (ORNs) von Manduca sexta als Modellsystem für periphere Schrittmacher dienten. Die zentralen Schrittmacherneurone wurden in extrazellulären Ableitungen an der isolierten AME (Netzwerkebene) und in Patch-Clamp Experimenten an primären AME Zellkulturen (Einzelzellebene) untersucht. Auf Netzwerkebene zeigten sich zwei charakteristische Aktivitätsmuster: regelmäßige Aktivität und Wechsel zwischen hoher und niedriger Aktivität (Oszillationen). Es wurde gezeigt, dass Glutamat ein Neurotransmitter der weitverbreiteten inhibitorischen Synapsen der AME ist, und dass in geringem Maße auch exzitatorische Synapsen vorkommen. Das Neuropeptid pigment-dispersing factor (PDF), das von nur wenigen AME Neuronen exprimiert wird und ein wichtiger Kopplungsfaktor im circadianen System ist, führte zu Hemmungen, Aktivierungen oder Oszillationen. Die Effekte waren transient oder langanhaltend und wurden wahrscheinlich durch den sekundären Botenstoff cAMP vermittelt. Ein Zielmolekül von cAMP war vermutlich exchange protein directly activated by cAMP (EPAC). Auf Einzelzellebene wurde gezeigt, dass die meisten AME Neurone depolarisiert waren und deshalb nicht feuerten. Die Analyse von Strom-Spannungs-Kennlinien und pharmakologische Experimente ergaben, dass unterschiedliche Ionenkanäle vorhanden waren (Ca2+, Cl-, K+, Na+ Kanäle sowie nicht-spezifische Kationenkanäle). Starke, bei hohen Spannungen aktivierende Ca2+ Ströme (ICa) könnten eine wichtige Rolle bei Ca2+-abhängiger Neurotransmitter-Ausschüttung, Oszillationen, und Aktionspotentialen spielen. PDF hemmte unterschiedliche Ströme (ICa, IK und INa) und aktivierte nicht-spezifische Kationenströme (Ih). Es wurde angenommen, dass simultane PDF-abhängige Hyper- und Depolarisationen rhythmische Membranpotential-Oszillationen verursachen. Dieser Mechanismus könnte eine Rolle bei PDF-abhängigen Synchronisationen spielen. Die Analyse peripherer Schrittmacherneurone konzentrierte sich auf die Charakterisierung des olfaktorischen Corezeptors von M. sexta (MsexORCO). In anderen Insekten ist ORCO für die Membran-Insertion von olfaktorischen Rezeptoren (ORs) erforderlich. ORCO bildet Komplexe mit den ORs, die in heterologen Expressionssystemen als Ionenkanäle fungieren und Duft-Antworten vermitteln. Es wurde die Hypothese aufgestellt, dass MsexORCO in pheromonsensitiven ORNs in vivo nicht als Teil eines ionotropen Rezeptors sondern als Schrittmacherkanal fungiert, der unterschwellige Membranpotential-Oszillationen generiert. MsexORCO wurde mit vermeintlichen Pheromonrezeptoren in human embryonic kidney (HEK 293) Zellen coexprimiert. Immuncytochemie und Ca2+ Imaging Experimente zeigten sehr schwache Expressionsraten. Trotzdem war es möglich zu zeigen, dass MsexORCO wahrscheinlich ein spontan-aktiver, Ca2+-permeabler Ionenkanal ist, der durch den ORCO-Agonisten VUAA1 und cyclische Nucleotide aktiviert wird. Außerdem wiesen die Experimente darauf hin, dass MsexOR-1 offensichtlich der Bombykal-Rezeptor ist. Eine weitere Charakterisierung von MsexORCO in primären M. sexta ORN Zellkulturen konnte nicht vollendet werden, weil die ORNs nicht signifikant auf ORCO-Agonisten oder -Antagonisten reagierten.