Network Services Identification on a Computer Network

Róbert Šuška

Bachelor's thesis

Abstract:

Cieľom tejto práce je navrhnúť metódu identifikácie sieťových služieb na bázi pasívneho sieťového monitoringu. Metóda je založená na klasifikácii na bázi strojového učenia a pracuje s rozšírenými IP tokmi. Práca popisuje výber vhodného algoritmu pre strojové učenie, zvolenie vhodnej množiny atribútov tokov s ohľadom na ich dopad na klasifikačný výkon, a zostavenie trénovacieho datasetu. Voľba algoritmu zohľadňuje hlavne jeho výkon a škálovateľnosť, zatiaľ čo pri výbere atribútov je cieľom dosiahnuť kompromis medzi klasifikačným výkonom a výpočetnou náročnosťou. Metóda je otestovaná na reálnych dátach zozbieraných na sieti Masarykovej Univerzity. Rozhodovací strom je zvolený ako najvhodnejší, keďže ponúka vysoký klasifikačný výkon, zatiaľ čo jeho požiadavky na výpočtový výkon sú minimálne. Klasifikátor vo výslednej verzii používa množinu deviatich atribútov rozšírených tokov, z ktorých väčšina je založená na štatistických vlastnostiach týchto tokov. Metóda je implementovaná v podobe komponenty, ktorá bola nasadená v rámci projektu CRUSOE pre situačné povedomie v kyberbezpečnosti (č. VI20172020070).

Abstract:

This thesis aims to propose a method for network service identification based on passive network monitoring. The developed method is based on machine learning classification and works with extended IP flows. The covered topics include the selection of suitable machine learning algorithm, the formation of the optimal flow feature set with the evaluation of influence on classification performance, and building of training dataset. The choice of the algorithm takes into account mainly algorithm's performance and ability to scale, and feature selection finds a set of features that balances classification performance with computational cost. The method is tested on real traffic collected at the Masaryk University network. The Decision Tree classifier is chosen as the most suitable since it offers high classification performance, and its requirements of computational power are minimal. In its final version, the classifier uses a set of nine extended flow features, out of which majority is based on statistical flow properties. The classifier is implemented in the form of a component that has been deployed within the situational awareness framework in the CRUSOE research project (No. VI20172020070).

Keywords

classification, network service, service identification, machine learning, network traffic, IPFIX

Language used: English

Date on which the thesis was submitted / produced: 27. 5. 2019

Thesis defence

• Date of defence: 28. 6. 2019
• Supervisor: doc. Ing. Pavel Čeleda, Ph.D.
• Reader: RNDr. Tomáš Jirsík

Masaryk University

Faculty of Informatics

Bachelor programme / field:
Informatics / Computer Networks and Communication