Improving Situation Awareness Through Monitoring Data Correlation

Mgr. Stanislav Špaček

Advanced ('rigorózní') thesis

Abstract:

Počítačové sítě v současné době ohrožuje velké množství útočníků. Útočníci mají zdroje i zkušenosti a mohou také využít samotné prostředí síťového provozu ve svůj prospěch. Cílem našeho výzkumu je poskytnout operátorům kybernetické bezpečnosti co nejvyšší úroveň situačního povědomí, aby se mohli včasně a správně rozhodovat v boji proti útočníkům. Náš výzkum se soustředí na poskytnutí vhledu do šifrovaného síťového provozu, který sice na jedné straně zajišťuje soukromí uživatelů, ale také umožňuje útočníkům pohodlně skrýt jejich akce. K dosažení našeho cíle použijeme data shromážděná monitorováním síťového provozu a monitorováním koncových stanic. Ta byla až dosud analyzována samostatně, my v našem výzkumu budeme zkoumat nové přístupy k jejich kombinaci. Plánujeme začít hledáním vztahů mezi monitorovacími daty, například společnými parametry a vzory. Poté použijeme korelační techniky k vytvoření kombinovaného pohledu, který popisuje událost z obou perspektiv. K překonání situací, kdy jedna metoda monitorování není schopna poskytnout data, například monitorování šifrovaného síťového provozu, použijeme techniky strojového učení pro predikci vlastností a doplníme chybějící data na základě údajů shromážděných druhou metodou monitorování. Jako poslední krok v našem výzkumu poskytneme operátorům kybernetické bezpečnosti náš kombinovaný pohled a pomocí technik pro měření kybernetického situačního povědomí zjistíme, zda se našemu přístupu podařilo zlepšit proces reakce na incidenty.

Abstract:

Computer networks are threatened by a large number of attackers nowadays. The attackers have the resources and experience and may also use the network traffic landscape to their advantage. The aim of our research is to provide cybersecurity operators with the highest level of situation awareness possible so that they can make timely and correct decisions in countering the attackers. We focus on providing insight into encrypted network traffic because while it ensures user privacy, it also enables the attackers to hide their actions conveniently. To achieve our aim, we will use the data gathered by network and host-based monitoring. Until now, they have been analyzed separately. We will investigate novel approaches to combine them. We plan to start by finding relations between the monitoring data, e.g., common parameters and patterns. Then we will use correlation techniques to establish a combined view that describes an event from both perspectives. To overcome situations where one monitoring method is unable to provide data, e.g., network monitoring in encrypted traffic, we will employ machine learning techniques for feature prediction and complement the missing data based on the data gathered by the other monitoring method. As the last step in our research, we will provide the cybersecurity operators with our combined view and use techniques for cyber situation awareness measurement to discover if our approach managed to improve the incident response process.

Keywords

passive network monitoring, host-based monitoring, event correlation, encrypted network traffic

Language used: English

Date on which the thesis was submitted / produced: 27. 11. 2019

Thesis defence

• Date of defence: 14. 1. 2020
• Reader: doc. RNDr. Petr Švenda, Ph.D., Ing. Martin Žádník, Ph.D.

Masaryk University

Faculty of Informatics

Advanced ('rigorózní řízení') programme / field:
Computer systems, communication and security / Computer systems, communication and security