Network traffic anomaly detection using genetic algorithms and fuzzy logic with IP flow analysis

Devido ao crescimento de usuários e serviços prestados pelas redes de computadores, o seu gerenciamento se torna imprescindível. Por consequência, existe a necessidade de monitorar os eventos que ocorrem com os ativos de rede e os comportamentos dos usuários, a fim de garantir a integridade e disponibilidade dos serviços prestados. Porém, efetuar essa tarefa manualmente é impraticável, uma vez que o volume do tráfego de dados é substancial. Assim, métodos sofisticados que realizam a gerência e mantêm a segurança dos serviços oferecidos pelas redes de computadores são essenciais. Com isso em vista, este trabalho apresenta um sistema para detecção de anomalias utilizando informações extraídas de fluxos IP. Isso é feito analisando o comportamento normal do tráfego de rede, gerando um perfil de caracterização, denominado DSNSF (Digital Signature of Network Segment using Flow Analysis), usando um Algoritmo Genético. Com base nesse perfil, no tráfego real e nos limiares calculados com o EWMA (Exponentially Weighted Moving Average), um sistema usando Lógica Fuzzy determina se existe uma anomalia. As informações utilizadas para análise foram extraídas de coletas em ambientes reais com protocolos baseados em fluxos IP, sendo elas: bits por segundo, pacotes por segundo, entropia de IPs de origem e destino e entropia de portas de origem e destino, totalizando seis dimensões. Os experimentos conduzidos indicam que o sistema proposto obteve bons resultados, atingindo altas taxas de acurácia e precisão, com poucos falsos alarmes.Due to the growth of users and services provided through computer networks, their management becomes indispensable. Consequently, it is necessary to monitor events that are occurring with the network assets and the users behaviors, aiming to guarantee their integrity and availability in the provided services. However, realizing this task manually is impractical, given that network traffic volume is substantial. Thus, sophisticated methods that realize the management and maintain the security of services offered through computer networks are essential. Bearing this in mind, this work presents a system for anomaly detection using information extracted from IP flows. This is accomplished by analysing the standard behavior of the network traffic, generating a characterization profile, namely DSNSF (Digital Signature of Network Segment using Flow Analysis), using a Genetic Algorithm. Based on this profile, the real traffic and thresholds calculated with EWMA (Exponentially Weighted Moving Average), a Fuzzy Logic system determines if an anomaly exists. The information used for analysis were extracted from a collection in real environments using IP flows based protocols, which are: bits per second, packets per second, IP source and destination entropy and port source and destination entropy, totalizing six dimensions. The experiments conducted indicate that the proposed system obtained good results, achieving high accuracy and precision, with few false alarms