Anais - Engenharia de Redes de Comunicação - UnB

grupos densos e próximos aos grupos considerados como normais (uma situação
parecida ocorreu com a partição P19). Para melhorar a detecção nessa situação
um teste adicional foi realizado, onde o limite de distância W=40 foi utilizado
com o intuito de criar mais grupos. O resultado pode ser visualizado nas linhas
destacadas por um asterisco (*) nas partições P09, P10 e P19.
6. Conclusão
Este trabalho apresentou uma proposta de método heurístico para atribuição de rótulos
em grupos que resultou em modelos de detecção de intrusão para um IDS baseado em
anomalia. Dois trabalhos relacionados foram implementados e seus resultados foram
comparados com os resultados obtidos com o método proposto. Das 19 partes testadas
de uma base de requisições web, o método proposto obteve melhores resultados em 16
delas. Na maioria dos testes as taxas de detecção de ataques não foram superiores aos
dos outros métodos, por outro lado, em diversos testes a taxa de falsos positivos não
ultrapassou de 1%. Isso demonstra que este método é promissor, pois o baixo número de
alertas falsos permite que um analista de segurança inspecione os resultados de maneira
eficiente, mesmo sabendo que se trata de um IDS que foi treinado sem supervisão.
Para trabalhos futuros, tanto as implementações como a base de requisições foram
disponibilizadas para o público em [Celepar-Dataset 2011], e poderão ser utilizadas para
fins de pesquisa. Como complemento deste trabalho também poderão ser feitos testes
do IDS no modo de aprendizagem contínua (active learning). Além disso, o método
heurístico proposto também precisará de mais estudos, pois o índice de confiabilidade dos
hosts é calculado de acordo com o host que é considerado o mais confiável. Esse cálculo
foi suficiente para obter bons resultados neste trabalho, mas dependendo do ambiente do
treinamento poderá não ser o ideal para se obter os melhores índices.
Referências
Acunetix (2011). Acunetix Web Security Scanner (http://www.acunetix.com/ -
acesso em 10/07/2011).
Celepar-Dataset (2011). Celepar - Dataset with web attacks for intrusion detection research
(http://ids.celepar.pr.gov.br/dataset).
Corona, I. and Giacinto, G. (2010). Detection of Server-side Web Attacks. Journal of
Machine Learning Research - Proceedings Track, 11:160–166.
Criscione, C., Salvaneschi, G., Maggi, F., and Zanero, S. (2009). Integrated Detection
of Attacks Against Browsers, Web Applications and Databases. In Proceedings of the
2009 European Conference on Computer Network Defense, EC2ND ’09, pages 37–45,
Washington, DC, USA. IEEE Computer Society.
DARPA (1998). 1998 DARPA Intrusion Detection Evaluation Data Set (http:
//www.ll.mit.edu/mission/communications/ist/corpora/
ideval/data/1998data.html - acesso em 10/07/2011).
DirBuster (2011). OWASP DirBuster Project (https://www.owasp.org/index.
php/Category:OWASP_DirBuster_Project - acesso em 10/07/2011).
Eskin, E., Arnold, A., Prerau, M., Portnoy, L., and Stolfo, S. (2002). A Geometric
Framework for Unsupervised Anomaly Detection: Detecting Intrusions in Unlabeled
Data. In Applications of Data Mining in Computer Security.
195