Passive Device Identification and Vulnerability Detection from Network Traffic

Bc. Martin Křivánek

Bakalářská práce

Anotace:

Moderní provozní technologie (OT) a průmyslové řídicí systémy (ICS) vyžadují nepřetržité sledování zranitelností, avšak jejich citlivá architektura zakazuje aktivní síťové skenování. Pasivní monitorování prostřednictvím protokolu Simple Network Management Protocol (SNMP) sice zajišťuje provozní bezpečnost, poskytuje však nestrukturovaná textová data, která nelze přímo porovnat se strukturovanými vládními databázemi zranitelností, jako je National Vulnerability Database (NVD). Tato práce řeší tuto sémantickou mezeru návrhem a implementací automatizovaného systému pro pasivní identifikaci zranitelností. Pro splnění výpočetních omezení restriktivních síťových prostředí představuje navržené řešení oddělenou dvouvrstvou architekturu. Externí generátor dat přebírá zdrojově náročnou kompilaci datových zdrojů NVD do přenositelné SQL databáze. Lokální detekční jádro současně zpracovává síťovou telemetrii pomocí deterministického hybridního algoritmu pro zpracování přirozeného jazyka (NLP). Díky kombinaci striktní extrakce alfanumerických tokenů, optimalizovaného porovnávání Levenshteinovy vzdálenosti a matematických heuristických penalizací toto jádro mapuje nestrukturovanou telemetrii na kanonické hardwarové identifikátory. Experimentální vyhodnocení prokázalo účinnost systému, který dosáhl 100% úplnosti (recall) a 84,9% přesnosti (precision) při latenci zpracování přibližně 117 milisekund na jedno zařízení. Tato práce přináší softwarový modul připravený pro produkční nasazení a navržený pro integraci do platforem Network Detection and Response (NDR). Modul automatizuje jednoznačné rozpoznání hardwaru a korelaci rizik bez generování aktivního provozu, čímž vytváří škálovatelný základ pro pasivní detekci zranitelností jakožto nedílnou součást širší obrany sítě.

Abstract:

Modern Operational Technology (OT) and Industrial Control Systems (ICS) require continuous vulnerability monitoring, yet their fragile architectures prohibit active network scanning. While passive monitoring via the Simple Network Management Protocol (SNMP) ensures operational safety, it yields unstructured textual descriptions that cannot be directly correlated with structured government vulnerability databases such as the National Vulnerability Database (NVD). This thesis addresses this semantic gap by designing and implementing an automated, passive vulnerability identification system. To satisfy the computational constraints of restricted network environments, the proposed solution introduces a decoupled, two-tier architecture. An external payload generator offloads the resource-intensive compilation of NVD feeds into a portable SQL database. Concurrently, a local detection engine processes network telemetry using a deterministic Hybrid Natural Language Processing (NLP) algorithm. By combining strict alphanumeric token extraction, optimized Levenshtein distance comparisons, and mathematical heuristic penalties, the engine maps unstructured telemetry to canonical hardware identifiers. Experimental evaluation demonstrated the system's efficacy, achieving 100% asset recall and 84.9% precision at a processing latency of approximately 117 milliseconds per device. This thesis delivers a production-ready software module designed for integration into Network Detection and Response (NDR) platforms. It automates hardware disambiguation and risk correlation without injecting active traffic, establishing a scalable foundation for passive vulnerability detection as an integral component of broader network defense.

Keywords

Passive Network Monitoring, Vulnerability Detection, SNMP, Natural Language Processing, Common Platform Enumeration, Industrial Control Systems, Network Detection and Response

Jazyk práce: angličtina

Datum vytvoření / odevzdání či podání práce: 21. 5. 2026

Obhajoba závěrečné práce

• Obhajoba proběhla 25. 6. 2026
• Vedoucí: RNDr. Martin Stehlík, Ph.D.
• Oponent: RNDr. Martin Husák, Ph.D.

Masarykova univerzita

Fakulta informatiky

Bakalářský studijní program / obor:
Kyberbezpečnost / Kyberbezpečnost