Graph-based Anomaly Detection in Network Traffic

Bc. Denisa Šrámková

Master's thesis

Abstract:

Síťová forenzní analýza se zaměřuje na shromažďování důkazů o původu a dopadu anomálních aktivit na sítě a hostitele. Pro zahájení analýzy je nutné získat o rozsáhlém síťovém záchytu přehled, nicméně to není snadné. Nástrojů, které lze pro takové účely použít, je celá řada, ale i s jejich pomocí může mnoho informací zůstat v datech neodhalených. Proto je rozumné hledat nové metody analýzy. Tato práce využívá zatím málo používaný grafový přístup k uvažování o síťových datech. Zkoumá, zda kontext, který nabízí data v grafovém formátu, může být přínosný, když je použit jako součást vstupu pro algoritmy strojového učení bez učitele. Kromě toho zavádí nový způsob kódování, který lze použít k transformaci těchto grafových dat. Poté ukazuje výsledky na konkrétních algoritmech z clusteringové větve strojového učení. Konkrétně byly zkoumány algoritmy K-means, K-prototypes a DBSCAN. Získané výsledky jsou slibné a ukazují, že další úsilí v tomto směru výzkumu může vést k cenným poznatkům.

Abstract:

Network forensic analysis aims at gathering evidence about the origin and impact of anomalous activities on networks and hosts. However, getting an overview of large network traffic captures, needed to start the analysis, is not an easy task. There are numerous tools that can be used for such purposes, but even with their help, many facts hidden in the data may remain undiscovered. Therefore, it is reasonable to look for new methods. This thesis utilizes so far rarely used graph-based approach to thinking about the network data. It researches whether the context offered by data in a graph format can be beneficial when used as an input to unsupervised machine learning algorithms. Furthermore, it introduces a novel encoding that can be used to transform such data. It then shows the results on concrete algorithms from the clustering machine learning branch. Namely, the explored algorithms are K-means, K-prototypes, and DBSCAN. The obtained results are promising and demonstrate that further pursuing this research direction may help acquire valuable insights.

Keywords

Analýza síťového provozu, GRANEF, K-Means, K-Prototypes, DBSCAN, Detekce anomálií, Network traffic analysis, Unsupervised machine learning, Clustering, Anomaly detection

Language used: English

Date on which the thesis was submitted / produced: 14. 12. 2021

Thesis defence

• Date of defence: 22. 6. 2022
• Supervisor: RNDr. Milan Čermák, Ph.D.
• Reader: RNDr. Tomáš Jirsík, Ph.D.

Masaryk University

Faculty of Informatics

Master programme / field:
Artificial intelligence and data processing / Big data