Improving Cyber Situational Awareness through Event-Flow Correlation

RNDr. Stanislav Špaček, Ph.D.

Doctoral thesis

Abstract:

Situační povědomí je nepostradatelnou součástí zajištění bezpečnosti v prostředí počítačových sítí. Vyjadřuje schopnost vnímat, jaké události se dějí v kybernetickém prostředí, chápat, jak tyto události ovlivňují toto prostředí, a na základě toho předvídat budoucí stav prostředí. S rozvojem počítačových sítí se však musí vyvíjet i metody pro dosažení a udržení situačního povědomí, aby reagovaly na aktuální výzvy. Tato práce zkoumá nové přístupy k vnímání a chápání prostředí počítačové sítě. Poskytujeme kompletní metodologii pro shromažďování dat z monitorování sítě a hostitele, provádíme jejich korelaci a zavádíme korelovaná data do procesu reakce na incidenty. Na úrovni vnímání kybernetického situačního povědomí propojujeme síťové monitorování a monitorování koncových stanic a specifikujeme změny konfigurace nezbytné pro přechod z nezávislých na synchronizované monitorovací infrastruktury. Na úrovni porozumění navrhujeme a vyhodnocujeme korelační algoritmus síťových toků a událostínad síťovými komunikačními protokoly DNS, HTTP/2 a HTTP/3. Zaměřujeme se na časová omezení, zkoumáme dopad různých variant korelačních metod a hodnotíme, jak korelace funguje, když je použito nejaktuálnější šifrování přenášených dat. Vzhledem k tomu, že v procesu reakce na incident jsou potřebná jak strojově, tak i člověkem čitelná data, rozšiřujeme naši práci na úrovni porozumění situačního povědomí tak, abychom data vizualizovali odborným operátorům. Navrhujeme model založený na teorii grafů, který dokáže intuitivně reprezentovat události, toky a vztahy mezi nimi. Tento model pomáhá operátorům řešit každodenní incidenty a umožňuje jim prozkoumat korelační anomálie, které mohou představovat hrozbu pro síť. Jako celek si náš navrhovaný přístup klade za cíl zlepšit informovanost odborných operátorů o kybernetické situaci a současně poskytnout nový úhel pro detekci hrozeb v počítačových sítích.

Abstract:

Cyber situational awareness is an indispensable part of ensuring security in the environment of computer networks. It expresses the ability to perceive what events occur in the cyber environment, comprehend how these events affect this environment, and predict the future state of the environment based on gained perception and comprehension. However, as computer networks develop, the methods for achieving and maintaining cyber situational awareness must evolve to react to current challenges. This thesis contributes to the continuous evolution of cyber situational awareness by researching novel approaches to perception and comprehension of the computer network environment. We provide a complete methodology to collect the network and host-based monitoring data, correlate them, and introduce them into the incident response process. At the perception level of cyber situational awareness, we interface the network and host-based monitoring and specify configuration changes necessary to move from independent to synchronized monitoring infrastructures. At the comprehension level, we design and evaluate an event-flow correlation algorithm to establish bonds between related events and flows. We present the event-flow correlation results over the DNS, HTTP/2, and HTTP/3 network communication protocols. We focus on the time constraints, examine the impact of different sets of correlation features, and evaluate how the method performs when the most up-to-date encryption is used. As both machine and human-readable data are needed in the incident response process, we expand our work at the comprehension level to visualize the data to expert operators. We propose a graph-based model that can intuitively represent events, flows, and relationships between them. This model assists operators in solving everyday incidents and allows them to explore correlation anomalies that may represent a threat to the network. As a whole, our proposed approach aims to improve the cyber situation awareness of expert operators and simultaneously provide a new angle of threat detection in computer networks.

Keywords

Cyber situational awareness, cybersecurity, network monitoring, host-based monitoring, event-flow correlation, data modeling.

Language used: English

Date on which the thesis was submitted / produced: 6. 10. 2023

Thesis defence

• Date of defence: 1. 3. 2024
• Supervisor: doc. Ing. Pavel Čeleda, Ph.D.
• Reader: doc. Ing. Ondřej Ryšavý, Ph.D., Prof. Isabelle Chrisment

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Computer Science / Computing Technology and Methodology