Prediction of Network Attacks in Collaborative Environment

RNDr. Martin Husák

Doctoral thesis

Abstract:

Dizertační práce představuje výsledky výzkumu v oblasti predikce kyberútoků v kolaborativním prostředí. Predikce dalšího postupu útočníka je jedním z klíčových konceptů takzvaného situačního povědomí v kyberbezpečnosti, procesu sběru informací o prostředí, porozumění datům a odhadu vývoje situace v budoucnosti. Současný stav poznání se převážně zaměřuje na problematiku predikce útoků na základě pozorování z jednoho bodu. V této práci navrhujeme využití nástrojů pro spolupráci a výměnu informací mezi kyberbezečnostními experty, které v poslední době zaznamenaly pokroky ve výzkumu i vývoji. S využitím nasdílených dat z více organizací můžeme pozorovat a predikovat kyberútoky ve větším měřítku. Díky tomu je možné predikovat jak další akci, kterou útočník může provést, tak i pravděpodobný cíl takové akce, který se může nacházet v různých sítích. Dizertační práce se nejprve věnuje představení hlavních oblastí a v nich dosažeých výsledků. První oblastí je spolupráce a výměna informací v kyberbezpečnosti. Druhou oblastí je předpovídání kyberútoků. V dalších kapitolách se struktura práce drží tří úrovní situačního povědomí, tedy vnímání, porozumění a předpovídání dašího vývoje situace. Ve fázi vnímání se práce zabývá zdroji hlášení o kyberbezpečnostních událostech a jejich vylepšení směrem ke sdílení hlášení o dílčích fázích kyberútoků. Ve fázi porozumění se práce zabývá zpracováním nasdílených hlášení o útocích od předběžné vizuální analýzy a agregrace událostí po dolování dat zaměřené na vyhledávání vzorů útoků. Ve fázi předpovídání dalšího vývoje situace se práce zabývá návrhem systému pro prediktivní analýzu hlášení o útocích založenou na dolování dat a soudobých metodách zpracování dat. Výsledky práce byly experimentálně ověřeny v prostředí platformy SABU, která slouží ke sdílení hlášení o kyberútocích a do které přispívají akademické i komerční organizace z České republiky. Dizertační práci doprovází implementace analytického systému a datová sada, která může posloužit jako výchozí bod pro další práci.

Abstract:

This thesis presents research on predicting cyber attacks in a collaborative environment. Predicting the next move of an adversary is one of the key concepts in so-called cyber situational awareness, a process of continuous gathering of information about the cyber environment, understanding the data, and projecting the situation into the future. State of the art research is mostly focused on predicting attacks as seen from a single observation point. In this work, we propose taking advantage of collaboration and information exchange, a recent, and promising, direction of research and development in cyber security. Using the shared data from multiple organizations, we can not only observe the cyber attack on a large scale but also predict their continuations. Thus, we can predict not only the next action the adversary most probably takes, but also predict the possible victim of such action. The thesis first discusses the background and related work on collaboration and information exchange in cyber security and projection, prediction, and forecasting of cyber attacks. Subsequently, the thesis follows the three levels of cyber situational awareness, perception, comprehension, and projection. In the perception phase, the thesis discusses the sources of alerts and improvements to their development and deployment that allows for sharing information on various phases of network attacks. In the comprehension phase, the thesis discusses processing the alerts from preliminary visual analytics and alert aggregation to data mining focused on the discovery of attack patterns. In the projection phase, the thesis illustrates the design of an analytical framework for the predictive analysis of the alerts backed by data mining and contemporary data processing approaches. The illustrative results are based on experimental evaluation in the security alert sharing platform SABU, where real-world alerts from Czech academic and commercial networks are shared. The thesis is accompanied by the implementation of the analytical framework and a dataset that provides a baseline for future work.

Keywords

intrusion detection, alert correlation, information sharing, collaborative security, prediction, attack projection, situational awareness

Language used: English

Date on which the thesis was submitted / produced: 16. 10. 2019

Thesis defence

• Date of defence: 27. 2. 2020
• Supervisor: doc. Ing. Pavel Čeleda, Ph.D.
• Reader: Prof. Shanchieh Jay Yang, Univ.-Prof.Dr. Gerald Quirchmayr

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Informatics (4-years) / Computer Systems and Technologies