Fisher 선형 분류법을 이용한 비정상 트래픽 탐지 = Traffic Anomaly Detection for Campus Networks using Fisher Linear Discriminant

국문 초록 (Abstract)

최근 인터넷을 통한 각종 침해사고 및 트래픽 폭주와 같은 현상이 급격하게 증가함에 따라 네트워크의 비정상적 상황을 조기에 탐지하기 위한 보다 능동적이고 진보적인 기술이 요구되고 있다. 본 논문에서는 캠퍼스 네트워크와 같이 트래픽이 주기적인 특성을 띠는 환경에서 Fisher 선형 분류법(FLD)을 사용하여 트래픽을 두 개의 그룹으로 분류하고, 네트워크에 유입되는 트래픽이 어떤 그룹에 속하는지를 판별하는 기법을 제안한다. 이를 위해 WISE-Mon이라 불리는 트래픽 분석 시스템을 개발하여 캠퍼스 네트워크의 트래픽을 수집하고 이를 모니터링해서 분석을 수행한다. 생성된 트래픽의 training set을 이용하여 비정상 트래픽의 범위를 판단하기 위한 chi-square distribution을 유도하고, FLD를 적용하여 유입되는 트래픽을 두 그룹으로 분리하기 위한 초평면 (hyperplane)을 만든다. 또한 네트워크 내의 트래픽 패턴이 시간이 지남에 따라 계속적으로 변하는 상황을 반영하기 위하여 self-learning 알고리즘을 적용한다. 캠퍼스 네트워크의 트래픽을 적용한 수학적 결과를 통하여 제안하는 기법의 정확성과 신뢰도를 보여준다.

다국어 초록 (Multilingual Abstract)

Traffic anomaly detection is one of important technology that should be considered in network security and administration. In this paper, we propose an abnormal traffic detection mechanism that includes traffic monitoring and traffic analysis. We develop analytical passive monitoring system called WISE-Mon which can inspect traffic behavior. We establish a criterion by analyzing the characteristics of a traffic training set. To detect abnormal traffic, we derive a hyperplane by using Fisher linear discriminant and chi-square distribution as well as the analyzed characteristics of traffic. Our mechanism can support reliable results for traffic anomaly detection and is compatible to real-time detection. In addition, since the trend of traffic can be changed as time passes, the hyperplane has to be updated periodically to reflect the changes. Accordingly, we consider the self-learning algorithm which reflects the trend of the traffic and so enables to increase the pliability of detection probability. Numerical results are presented to validate the accuracy of proposed mechanism. It shows that the proposed mechanism is reliable and relevant for traffic anomaly detection.

참고문헌 (Reference)

1 Y. W. Chen, "Traffic behavior analysis and modeling of sub-networks" 12 : 323-330, 2002

2 K. H. Ramah, "Traffic Anomaly Detection and Characterization in the Tunisian National University Network" LNCS 3976 136-147, 2006

3 H. Hajji, "Statistical analysis of network traffic for adaptive faults detection" 16 : 1053-1063, 2005

4 S. S. Kim, "Statistical Techniques for Detecting Traffic Anomalies Through Packet Header Data" 16 (16): 562-575, 2008

5 K. Trivedi, "Probability and Statistics with Reliability, Queuing, and Computer Science Applications" John Wiley and Sons 658-664, 2002

6 T. Hamada, "Peer-to-peer traffic in metro networks: analysis, modeling, and policies" 425-438, 2004

7 Z. Zhang, "Online Training of SVMs for Real-time Intrusion Detection" 568-573, 2004

8 A. Shashua, "On the Relationship Between the Support Vector Machine for Classification and Sparsified Fisher's Linear Discriminant" 9 : 129-139, 1999

9 G. Androulidakis, "Intelligent Flow-Based Sampling for Effective Network Anomaly Detection" 1948-1953, 2007

10 D. Moore, "Inside the Slammer worm" 1 (1): 33-39, 2003

11 R. Ahmed, "Distributed Pattern Matching: A Key to Flexible and Efficient P2P Search" 25 (25): 73-83, 2007

12 P. Barford, "Characteristics of Network Traffic Flow Anomalies" 69-73, 2001

13 R. Johnson, "Applied Multivariate Statistical Analysis" Prentice-Hall 576-593, 2007

14 M. Thottan, "Anomaly Detection in IP Networks" 52 (52): 2191-2204, 2003