Adaptive Real-time Anomaly-based Intrusion Detection using Data Mining and Machine Learning Techniques

Die zunehmende Vernetzung der Informations- und Kommunikationssysteme führt zu einer weiteren Erhöhung der Komplexität und damit auch zu einer weiteren Zunahme von Sicherheitslücken. Klassische Schutzmechanismen wie Firewall-Systeme und Anti-Malware-Lösungen bieten schon lange keinen Schutz mehr vor Eindringversuchen in IT-Infrastrukturen. Als ein sehr wirkungsvolles Instrument zum Schutz gegenüber Cyber-Attacken haben sich hierbei die Intrusion Detection Systeme (IDS) etabliert. Solche Systeme sammeln und analysieren Informationen von Netzwerkkomponenten und Rechnern, um ungewöhnliches Verhalten und Sicherheitsverletzungen automatisiert festzustellen. Während signatur-basierte Ansätze nur bereits bekannte Angriffsmuster detektieren können, sind anomalie-basierte IDS auch in der Lage, neue bisher unbekannte Angriffe (Zero-Day-Attacks) frühzeitig zu erkennen. Das Kernproblem von Intrusion Detection Systeme besteht jedoch in der optimalen Verarbeitung der gewaltigen Netzdaten und der Entwicklung eines in Echtzeit arbeitenden adaptiven Erkennungsmodells. Um diese Herausforderungen lösen zu können, stellt diese Dissertation ein Framework bereit, das aus zwei Hauptteilen besteht. Der erste Teil, OptiFilter genannt, verwendet ein dynamisches "Queuing Concept", um die zahlreich anfallenden Netzdaten weiter zu verarbeiten, baut fortlaufend Netzverbindungen auf, und exportiert strukturierte Input-Daten für das IDS. Den zweiten Teil stellt ein adaptiver Klassifikator dar, der ein Klassifikator-Modell basierend auf "Enhanced Growing Hierarchical Self Organizing Map" (EGHSOM), ein Modell für Netzwerk Normalzustand (NNB) und ein "Update Model" umfasst. In dem OptiFilter werden Tcpdump und SNMP traps benutzt, um die Netzwerkpakete und Hostereignisse fortlaufend zu aggregieren. Diese aggregierten Netzwerkpackete und Hostereignisse werden weiter analysiert und in Verbindungsvektoren umgewandelt. Zur Verbesserung der Erkennungsrate des adaptiven Klassifikators wird das künstliche neuronale Netz GHSOM intensiv untersucht und wesentlich weiterentwickelt. In dieser Dissertation werden unterschiedliche Ansätze vorgeschlagen und diskutiert. So wird eine classification-confidence margin threshold definiert, um die unbekannten bösartigen Verbindungen aufzudecken, die Stabilität der Wachstumstopologie durch neuartige Ansätze für die Initialisierung der Gewichtvektoren und durch die Stärkung der Winner Neuronen erhöht, und ein selbst-adaptives Verfahren eingeführt, um das Modell ständig aktualisieren zu können. Darüber hinaus besteht die Hauptaufgabe des NNB-Modells in der weiteren Untersuchung der erkannten unbekannten Verbindungen von der EGHSOM und der Überprüfung, ob sie normal sind. Jedoch, ändern sich die Netzverkehrsdaten wegen des Concept drif Phänomens ständig, was in Echtzeit zur Erzeugung nicht stationärer Netzdaten führt. Dieses Phänomen wird von dem Update-Modell besser kontrolliert. Das EGHSOM-Modell kann die neuen Anomalien effektiv erkennen und das NNB-Model passt die Änderungen in Netzdaten optimal an. Bei den experimentellen Untersuchungen hat das Framework erfolgversprechende Ergebnisse gezeigt. Im ersten Experiment wurde das Framework in Offline-Betriebsmodus evaluiert. Der OptiFilter wurde mit offline-, synthetischen- und realistischen Daten ausgewertet. Der adaptive Klassifikator wurde mit dem 10-Fold Cross Validation Verfahren evaluiert, um dessen Genauigkeit abzuschätzen. Im zweiten Experiment wurde das Framework auf einer 1 bis 10 GB Netzwerkstrecke installiert und im Online-Betriebsmodus in Echtzeit ausgewertet. Der OptiFilter hat erfolgreich die gewaltige Menge von Netzdaten in die strukturierten Verbindungsvektoren umgewandelt und der adaptive Klassifikator hat sie präzise klassifiziert. Die Vergleichsstudie zwischen dem entwickelten Framework und anderen bekannten IDS-Ansätzen zeigt, dass der vorgeschlagene IDSFramework alle anderen Ansätze übertrifft. Dies lässt sich auf folgende Kernpunkte zurückführen: Bearbeitung der gesammelten Netzdaten, Erreichung der besten Performanz (wie die Gesamtgenauigkeit), Detektieren unbekannter Verbindungen und Entwicklung des in Echtzeit arbeitenden Erkennungsmodells von Eindringversuchen.

Efectividad en las redes empresariales

Este estudio tiene como objetivo identificar cuáles son las variables que repercuten en la efectividad de las redes empresariales. Esto, con base en la búsqueda de literatura existente de la efectividad en equipos, en organizaciones y en las redes interorganizacionales, así como el análisis de modelos y estudios empíricos que permitieron el análisis. De acuerdo con la búsqueda, se encontró que variables como la estructura de la red, la estabilidad del sistema, el compromiso de los empleados en cada una de las organizaciones que hacen parte de la red, la confianza dentro de la red, la transferencia de conocimiento y la apertura del sistema son las variables que en conclusión, mostraron ser buenas predictoras de efectividad dentro de las redes empresariales.

Estudio de la cultura, sus manifestaciones y efectos en una Red Inter-Organizacional

El presente trabajo tiene como propósito el estudio de la cultura, y el impacto que tiene esta en una red inter-organizacional. Para esto se realizó un estudio documental en el cual se hizo una revisión bibliográfica de los principales conceptos relacionados con la cultura y el enfoque de trabajo en red. Asimismo para dar cumplimiento al objetivo de la investigación, se realizó el análisis de varios estudios empíricos que muestran las relaciones entre cultura y redes y que a su vez reflejan las diferentes formas que existen de comprobar la efectividad de una red. Los resultados mostraron que variables de la cultura como la confianza, la comunicación y la similitud de las prácticas culturales influyen en el desempeño y la duración de la red inter-organizacional, de igual forma, se demostró que al momento de escoger un enfoque de trabajo en red, es importante tener en cuenta las diferencias entre las culturas organizacionales de los miembros de la red ya que es necesario hacer un ajuste cultural para garantizar el éxito de la misma.

Efectividad en redes Inter-Organizacionales : una aproximación al concepto y su medición

El concepto de efectividad en Redes Inter-organizacionales se ha investigado poco a pesar de la gran importancia en el desarrollo y sostenibilidad de la red. Es muy importante entender este concepto ya que cuando hablamos de Red, nos referimos a un grupo de más de tres organizaciones que trabajan juntas para alcanzar un objetivo colectivo que beneficia a cada miembro de la red. Esto nos demuestra la importancia de evaluar y analizar este fenómeno “Red Inter-organizacional” de forma más detallada para poder analizar que estructura, formas de gobierno, relaciones entre los miembros y entre otros factores, influyen en la efectividad y perdurabilidad de la Red Inter-organizacional. Esta investigación se desarrolla con el fin de plantear una aproximación al concepto de medición de la efectividad en Redes Inter-organizacionales. El trabajo se centrara en la recopilación de información y en la investigación documental, la cual se realizará por fases para brindarle al lector una mayor claridad y entendimiento sobre qué es Red, Red Inter-Organizacional, Efectividad. Y para finalizar se estudiara Efectividad en una Red Inter-organizacional.

Diseño de un sistema de benchmarking de prácticas de recursos humanos en redes interorganizacionales

Hoy en día en el mundo empresarial, son cada vez más las compañías que forman parte de redes interorganizacionales, debido a que al hacer parte de estas se genera un apoyo mutuo entre organizaciones sin que ninguna de ellas imponga acciones a realizar sobre la otra (Sulbrandt, Lira, Ibarra, 2001). En años anteriores se han realizado diversas investigaciones acerca de redes interorganizacionales, estudiando factores económicos, financieros y de mercado, pero poco se ha estudiado acerca del campo de recursos humanos y sus prácticas. Es por esto que esta investigación busca describir, explicar, analizar, y comparar, entre otras actividades intelectuales, conceptos de redes interorganizacionales, prácticas de recursos humanos y benchmarking, para finalmente proponer el diseño de un sistema de benchmarking que logre reunir y evaluar las mejores prácticas de recursos humanos de cada empresa dentro de una red interorganizacional.

Dynamic management and restoration of virtual paths in broadband networks based on distributed software agents

La gestió de xarxes és un camp molt ampli i inclou molts aspectes diferents. Aquesta tesi doctoral està centrada en la gestió dels recursos en les xarxes de banda ampla que disposin de mecanismes per fer reserves de recursos, com per exemple Asynchronous Transfer Mode (ATM) o Multi-Protocol Label Switching (MPLS). Es poden establir xarxes lògiques utilitzant els Virtual Paths (VP) d'ATM o els Label Switched Paths (LSP) de MPLS, als que anomenem genèricament camins lògics. Els usuaris de la xarxa utilitzen doncs aquests camins lògics, que poden tenir recursos assignats, per establir les seves comunicacions. A més, els camins lògics són molt flexibles i les seves característiques es poden canviar dinàmicament. Aquest treball, se centra, en particular, en la gestió dinàmica d'aquesta xarxa lògica per tal de maximitzar-ne el rendiment i adaptar-la a les connexions ofertes. En aquest escenari, hi ha diversos mecanismes que poden afectar i modificar les característiques dels camins lògics (ample de banda, ruta, etc.). Aquests mecanismes inclouen els de balanceig de la càrrega (reassignació d'ample de banda i reencaminament) i els de restauració de fallades (ús de camins lògics de backup). Aquests dos mecanismes poden modificar la xarxa lògica i gestionar els recursos (ample de banda) dels enllaços físics. Per tant, existeix la necessitat de coordinar aquests mecanismes per evitar possibles interferències. La gestió de recursos convencional que fa ús de la xarxa lògica, recalcula periòdicament (per exemple cada hora o cada dia) tota la xarxa lògica d'una forma centralitzada. Això introdueix el problema que els reajustaments de la xarxa lògica no es realitzen en el moment en què realment hi ha problemes. D'altra banda també introdueix la necessitat de mantenir una visió centralitzada de tota la xarxa. En aquesta tesi, es proposa una arquitectura distribuïda basada en un sistema multi agent. L'objectiu principal d'aquesta arquitectura és realitzar de forma conjunta i coordinada la gestió de recursos a nivell de xarxa lògica, integrant els mecanismes de reajustament d'ample de banda amb els mecanismes de restauració preplanejada, inclosa la gestió de l'ample de banda reservada per a la restauració. Es proposa que aquesta gestió es porti a terme d'una forma contínua, no periòdica, actuant quan es detecta el problema (quan un camí lògic està congestionat, o sigui, quan està rebutjant peticions de connexió dels usuaris perquè està saturat) i d'una forma completament distribuïda, o sigui, sense mantenir una visió global de la xarxa. Així doncs, l'arquitectura proposada realitza petits rearranjaments a la xarxa lògica adaptant-la d'una forma contínua a la demanda dels usuaris. L'arquitectura proposada també té en consideració altres objectius com l'escalabilitat, la modularitat, la robustesa, la flexibilitat i la simplicitat. El sistema multi agent proposat està estructurat en dues capes d'agents: els agents de monitorització (M) i els de rendiment (P). Aquests agents estan situats en els diferents nodes de la xarxa: hi ha un agent P i diversos agents M a cada node; aquests últims subordinats als P. Per tant l'arquitectura proposada es pot veure com una jerarquia d'agents. Cada agent és responsable de monitoritzar i controlar els recursos als que està assignat. S'han realitzat diferents experiments utilitzant un simulador distribuït a nivell de connexió proposat per nosaltres mateixos. Els resultats mostren que l'arquitectura proposada és capaç de realitzar les tasques assignades de detecció de la congestió, reassignació dinàmica d'ample de banda i reencaminament d'una forma coordinada amb els mecanismes de restauració preplanejada i gestió de l'ample de banda reservat per la restauració. L'arquitectura distribuïda ofereix una escalabilitat i robustesa acceptables gràcies a la seva flexibilitat i modularitat.

Enhanced convolution approach for CAC in ATM networks, an analytical study and implementation

The characteristics of service independence and flexibility of ATM networks make the control problems of such networks very critical. One of the main challenges in ATM networks is to design traffic control mechanisms that enable both economically efficient use of the network resources and desired quality of service to higher layer applications. Window flow control mechanisms of traditional packet switched networks are not well suited to real time services, at the speeds envisaged for the future networks. In this work, the utilisation of the Probability of Congestion (PC) as a bandwidth decision parameter is presented. The validity of PC utilisation is compared with QOS parameters in buffer-less environments when only the cell loss ratio (CLR) parameter is relevant. The convolution algorithm is a good solution for CAC in ATM networks with small buffers. If the source characteristics are known, the actual CLR can be very well estimated. Furthermore, this estimation is always conservative, allowing the retention of the network performance guarantees. Several experiments have been carried out and investigated to explain the deviation between the proposed method and the simulation. Time parameters for burst length and different buffer sizes have been considered. Experiments to confine the limits of the burst length with respect to the buffer size conclude that a minimum buffer size is necessary to achieve adequate cell contention. Note that propagation delay is a no dismiss limit for long distance and interactive communications, then small buffer must be used in order to minimise delay. Under previous premises, the convolution approach is the most accurate method used in bandwidth allocation. This method gives enough accuracy in both homogeneous and heterogeneous networks. But, the convolution approach has a considerable computation cost and a high number of accumulated calculations. To overcome this drawbacks, a new method of evaluation is analysed: the Enhanced Convolution Approach (ECA). In ECA, traffic is grouped in classes of identical parameters. By using the multinomial distribution function instead of the formula-based convolution, a partial state corresponding to each class of traffic is obtained. Finally, the global state probabilities are evaluated by multi-convolution of the partial results. This method avoids accumulated calculations and saves storage requirements, specially in complex scenarios. Sorting is the dominant factor for the formula-based convolution, whereas cost evaluation is the dominant factor for the enhanced convolution. A set of cut-off mechanisms are introduced to reduce the complexity of the ECA evaluation. The ECA also computes the CLR for each j-class of traffic (CLRj), an expression for the CLRj evaluation is also presented. We can conclude that by combining the ECA method with cut-off mechanisms, utilisation of ECA in real-time CAC environments as a single level scheme is always possible.

Mobility based energy efficient and multi-sink algorithms for consumer home networks

With the fast development of the Internet, wireless communications and semiconductor devices, home networking has received significant attention. Consumer products can collect and transmit various types of data in the home environment. Typical consumer sensors are often equipped with tiny, irreplaceable batteries and it therefore of the utmost importance to design energy efficient algorithms to prolong the home network lifetime and reduce devices going to landfill. Sink mobility is an important technique to improve home network performance including energy consumption, lifetime and end-to-end delay. Also, it can largely mitigate the hot spots near the sink node. The selection of optimal moving trajectory for sink node(s) is an NP-hard problem jointly optimizing routing algorithms with the mobile sink moving strategy is a significant and challenging research issue. The influence of multiple static sink nodes on energy consumption under different scale networks is first studied and an Energy-efficient Multi-sink Clustering Algorithm (EMCA) is proposed and tested. Then, the influence of mobile sink velocity, position and number on network performance is studied and a Mobile-sink based Energy-efficient Clustering Algorithm (MECA) is proposed. Simulation results validate the performance of the proposed two algorithms which can be deployed in a consumer home network environment.

Obstacle avoidance routing scheme through optimal sink movement for home monitoring and mobile robotic consumer devices

In recent years, ZigBee has been proven to be an excellent solution to create scalable and flexible home automation networks. In a home automation network, consumer devices typically collect data from a home monitoring environment and then transmit the data to an end user through multi-hop communication without the need for any human intervention. However, due to the presence of typical obstacles in a home environment, error-free reception may not be possible, particularly for power constrained devices. A mobile sink based data transmission scheme can be one solution but obstacles create significant complexities for the sink movement path determination process. Therefore, an obstacle avoidance data routing scheme is of vital importance to the design of an efficient home automation system. This paper presents a mobile sink based obstacle avoidance routing scheme for a home monitoring system. The mobile sink collects data by traversing through the obstacle avoidance path. Through ZigBee based hardware implementation and verification, the proposed scheme successfully transmits data through the obstacle avoidance path to improve network performance in terms of life span, energy consumption and reliability. The application of this work can be applied to a wide range of intelligent pervasive consumer products and services including robotic vacuum cleaners and personal security robots1.

Bio-inspired ant colony optimization based clustering algorithm with mobile sinks for applications in consumer home automation networks

With the fast development of wireless communications, ZigBee and semiconductor devices, home automation networks have recently become very popular. Since typical consumer products deployed in home automation networks are often powered by tiny and limited batteries, one of the most challenging research issues is concerning energy reduction and the balancing of energy consumption across the network in order to prolong the home network lifetime for consumer devices. The introduction of clustering and sink mobility techniques into home automation networks have been shown to be an efficient way to improve the network performance and have received significant research attention. Taking inspiration from nature, this paper proposes an Ant Colony Optimization (ACO) based clustering algorithm specifically with mobile sink support for home automation networks. In this work, the network is divided into several clusters and cluster heads are selected within each cluster. Then, a mobile sink communicates with each cluster head to collect data directly through short range communications. The ACO algorithm has been utilized in this work in order to find the optimal mobility trajectory for the mobile sink. Extensive simulation results from this research show that the proposed algorithm significantly improves home network performance when using mobile sinks in terms of energy consumption and network lifetime as compared to other routing algorithms currently deployed for home automation networks.

Gestão em redes para a construção de políticas públicas: um estudo sobre as atividades e prevenção e repressão à lavagem de dinheiro no Brasil

O objetivo desta pesquisa foi compreender de que modo a emergência de estilos de gestão pública baseados em rede pode contribuir para a construção de políticas públicas relacionadas à prevenção e repressão à lavagem de dinheiro. O arcabouço teórico fundamentou-se nas teorias de redes interorganizacionais, mais especificamente, nas redes de políticas públicas. Foram estudadas relações de colaboração e cooperação que, por transcenderem os limites organizacionais, garantem maior flexibilidade e abrangência ao processo de construção de políticas públicas. As reflexões sobre estas teorias foram realizadas a partir de um contexto empírico específico: o da articulação entre instituições brasileiras que atuam na prevenção e repressão à lavagem de dinheiro. Este contexto foi escolhido pela percepção de que a prática de ilícitos financeiros traz enormes prejuízos a nações que precisam superar desigualdades econômicas e sociais. A escolha metodológica foi motivada por questões ontológicas e epistemológicas que apontaram a metodologia reflexiva como a mais adequada para o alcance dos objetivos propostos na pesquisa. A partir da construção dos dados empíricos foi possível criar construtos que sintetizam os benefícios e desafios da constituição de redes de políticas públicas. As conexões interpretativas subsequentes reforçam a ideia de que os espíritos democrático, republicano e de cooperação devem nortear os valores compartilhados na rede. Assim, se a atuação interna da rede se aprimora, torna-se possível superar entraves endógenos (foco apenas na boa reputação externa) e exógenos (pressão das elites corruptas) à rede, o que resulta em uma melhor interação entre os participantes, gerando resultados mais efetivos para a sociedade.

Redes estratégicas no contexto luso-brasileiro: estudo de caso na indústria do petróleo

Desde seu surgimento, a área de estratégia apresenta como características centrais a criação, uso e difusão de modelos que ajudam a construir e manter a autoridade do estrategista da grande empresa e o forte embasamento nas teorias econômicas e no paradigma da entidade autônoma. No cenário teórico dessa disciplina, predominam os referenciais produzidos no ambiente anglo-americano, a prescrição de modelos estratégicos universais e a falta profundidade teórica e conceitual que ajude a melhor compreender o fenômeno das redes. Esse arcabouço teórico dominante na disciplina designa maior relevância e foco à tese da mercadização, que reproduz os princípios do neoliberalismo e marginaliza as demais teorias de mercado que também são de fundamental importância para a compreensão do desempenho das empresas e das redes. Exemplos de teorias marginalizadas são as que endereçam o reconhecimento das interfaces entre poder, política, mercado, Estado e sociedade. Especialmente em economias emergentes assim como em economias em transição, como é o caso do Brasil e de Portugal respectivamente, essas teorias marginalizadas revelam o reconhecimento de que estratégias de não-mercado são tão importantes quanto estratégias de mercado. Dada a atual relevância das operações envolvendo as organizações híbridas Petrobras e Galp, em especial na indústria petrolífera de Brasil e Portugal, por meio de um estudo de caso a presente dissertação busca identificar como e porque são formadas redes de organizações híbridas na indústria petrolífera luso-brasileira e como estratégias de mercado e de não-mercado interagem nessas redes.

Design and Analysis of Optical Interconnection Networks for a Dataflow Parallel Computer

This work shows the design, simulation, and analysis of two optical interconnection networks for a Dataflow parallel computer architecture. To verify the optical interconnection network performance on the Dataflow architecture, we have analyzed the load balancing among the processors during the parallel programs executions. The load balancing is a very important parameter because it is directly associated to the dataflow parallelism degree. This article proves that optical interconnection networks designed with simple optical devices can provide efficiently the dataflow requirements of a high performance communication system.

A DOE based approach for the design of RBF artificial neural networks applied to prediction of surface roughness in AISI 52100 hardened Steel turning

Coordenação de Aperfeiçoamento de Pessoal de Nível Superior (CAPES)

Uma abordagem fuzzy para a avaliação técnico-econômica de redes de acesso

O surgimento de novas tecnologias e serviços vem impondo mudanças substanciais ao tradicional sistema de telecomunicações. Múltiplas possibilidades de evolução do sistema fazem da etapa de planejamento um procedimento não só desejável como necessário, principalmente num ambiente de competitividade. A utilização de metodologias abrangentes e flexíveis que possam auxiliar no processo de decisão, fundadas em modelos de otimização, parece um caminho inevitável. Este artigo propõe um modelo de programação linear inteiro misto para ajudar no planejamento estratégico de sistemas de telecomunicações, e em particular da rede de acesso. Os principais componentes de custo e receita são identificados e o modelo é desenvolvido para determinar a configuração da rede (serviços, tecnologias, etc) que maximize a receita esperada pelo operador do sistema. O conceito de números fuzzy é adotado para avaliar o risco técnico-econômico em situações de imprecisão nos dados de demanda. Resultados de experimentos computacionais são apresentados e discutidos.