Generating samples of attack maneuvers for detecting lateral movement in computer networks

Bc. Maxmilian Petrov

Bakalářská práce

Anotace:

S rostoucí aktivitou Advanced Persistent Threats (APT) se detekce laterálního pohybu v sítích stala kritickou výzvou pro systémy detekce narušení (IDS). Dostupnost kvalitních, anotovaných datasetů vhodných pro trénování a hodnocení těchto systémů však zůstává velmi omezená. Tato práce řeší tento nedostatek třemi způsoby. Nejprve jsou syntetizovány klíčové požadavky na datasety pro IDS a je provedena komplexní analýza a srovnání devíti veřejně dostupných datasetů obsahujících laterální pohyb, které jsou hodnoceny podle těchto kritérií s cílem zmapovat současný stav. Zadruhé je představena kontejnerizovaná sada nástrojů pro reprodukovatelnost založená na frameworku Trace-Share pro injekci paketů, včetně oprav několika artefaktů, která umožňuje vytváření poloanotovaných datasetů. Spolu s touto sadou jsou zveřejněny dva nové složené datasety: útok typu proof-of-concept využívající pivoting a zneužití zranitelnosti React2Shell v prostředí Linuxu a simulovaný útok na prostředí Windows Active Directory složený z agregovaných atomických záchytů.

Abstract:

With the rising prevalence of Advanced Persistent Threats, detecting lateral movement within networks has become a critical challenge for intrusion detection systems. However, the availability of high-quality, labelled datasets suitable for training and evaluating such systems remains severely limited. This work addresses this gap in three ways. First, we synthesise the key requirements for IDS datasets and provide a comprehensive analysis and comparison of nine publicly available datasets containing lateral movement activity, evaluating them against these criteria to map the current landscape. Second, we present a containerised reproducibility kit based on the Trace-Share packet injection framework, with fixes to several injection artefacts, enabling the creation of customised semi-labelled datasets. Alongside this toolkit, two new compound datasets are published: a Proof-of-Concept pivoting attack exploiting the React2Shell vulnerability in a Linux environment, and a simulated Windows Active Directory compromise composed of aggregated atomic captures.

Keywords

lateral movement, pivoting, intrusion detection systems, security datasets, attack simulation, packet injection, semi-labelled dataset

Jazyk práce: angličtina

Datum vytvoření / odevzdání či podání práce: 21. 5. 2026

Obhajoba závěrečné práce

• Obhajoba proběhla 26. 6. 2026
• Vedoucí: RNDr. Martin Husák, Ph.D.
• Oponent: RNDr. Milan Čermák, Ph.D.

Masarykova univerzita

Fakulta informatiky

Bakalářský studijní program / obor:
Kyberbezpečnost / Kyberbezpečnost