Identificação de portscan com machine learning: uma análise dos impactos de algoritmos de oversampling e undersampling no desenvolvimento de sistemas de detecção de intrusão

Abstract

A necessidade de trabalhar com as informações digitais nas empresas gerou um crescimento nos números de ataques cibernéticos em busca de ativos valiosos. Em contraproposta, pesquisadores e administradores de redes vêm buscando uma precisão maior do processo que visa descobrir portas “abertas” em dispositivos de rede, sendo que as “portas” são pontos de acesso pelos quais os dados transitam nos dispositivos. Dentro desta proposta, este trabalho apresenta um estudo da aplicação de combinações de algoritmos de Aprendizado de Máquina (AM) que possam identificar uma maior quantidade de tentativas de “escaneamento de portas”, técnica usada para identificar o estado de uma porta de rede, já que os cibercrimes normalmente iniciam-se com um ataque de Portscan. O trabalho proposto compara dois métodos de seleção de características, aplicando métodos de undersampling e oversampling para o balanceamento das classes “normal” e “ataque”, classificando-os com Rede Neural, Regressão Logística, Máquinas de Vetores de Suporte, Random Forest (RF), Decision Tree (DT) e k-Nearest Neighbors (kNN) no conjunto de dados CICIDS2017. O resultado adquirido com as diferentes combinaçõesde algoritmos de AM demonstrou-se que a combinação dos classificadores RF, DT e kNN juntamente com a técnica de SMOTEENN, obtiveram desempenhos superiores as demais combinações propostas no trabalho.

The need to work with digital information in companies has led to an increase in the number of cyber attacks in search of valuable assets. In counter-proposal researchers and network administrators have been searching for greater precision of the process of discovering “open ports” on network devices, where “ports” are access points for which information passes through the devices. Within this proposal, this work presents a study of the application of combinations of Machine Learning (ML) algorithms that can identify a greater number of “port scanning” attempts, a technique used to identify the state of a network port, since cybercrime cybercrimes usually begin with a port scanning attack. The proposed work compares two feature selection methods, applying undersampling and oversampling methods to balance the “normal” and “attack” classes, classifying them with using Neural Networks (NN), Logistic Regression (LR), Support Vector Machines (SVM), Random Forest (RF), Decision Tree (DT) and k-Nearest Neighbours (kNN) on the CICIDS2017 dataset. The results obtained with the different combinations of algorithms showed that the combination of the RF, DT and kNN classifiers together with the SMOTEENN technique performed better than the other combinations proposed in the work.