Die Auswirkungen von Computernetzwerken auf die moderne Gesellschaft lassen sich nicht abschätzen. Zweifellos sind Computernetzwerke einer der wichtigsten Faktoren in der heutigen Welt. Große Computernetzwerke sind unverzichtbare Werkzeuge, die unsere Wirtschaft, kritische Infrastruktur, Bildung und Unterhaltung antreiben. Aufgrund ihrer Allgegenwärtigkeit und Bedeutung ist es sinnvoll anzunehmen, dass Sicherheit ein wesentlicher Aspekt ihres Designs ist. Doch aufgrund der Entwicklung der Netzwerke ist die Sicherheit dieses Kommunikationsmediums noch ein offenes Thema.

Zur Bewältigung der Sicherheitsprobleme, die bei der Nutzung von Computernetzwerken auftreten, werden aktuell proaktive und reaktive Sicherheitsmechanismen eingesetzt. Proaktive Mechanismen versuchen, böswillige Aktivitäten in einem Netzwerk zu verhindern. Prävention allein reicht jedoch nicht aus: Es ist leichtsinnig anzunehmen, dass Sicherheit nicht umgangen werden kann. Reaktive Mechanismen sind dafür verantwortlich, gerade die Aktivitäten zu entdecken, die proaktive Sicherheitsmechanismen umgehen. Der wohl bekannteste reaktive Mechanismus zur Erkennung von Eindringlingen in einem Netzwerk ist bekannt als Network Intrusion Detection System (NIDS).

Große Netzwerke stellen immense Angriffsflächen dar, deren Größe es böswilligen Akteuren ermöglicht, ihre Absichten durch die Verteilung ihrer Aktivitäten zu verbergen. Ein einzelnes NIDS muss große Mengen an Datenverkehr verarbeiten, um bösartige verteilte Aktivitäten zu entdecken. Da einzelne NIDSs nur über begrenzte Ressourcen und einen eingeschränkten Überwachungsradius verfügen, müssen große Netzwerke mehrere NIDSs einsetzen. Da die Koordination der Erkennungsbemühungen von NIDSs keine triviale Aufgabe darstellt, wurden als Lösung Collaborative Intrusion Detection Systems (CIDSs) konzipiert. Ein CIDS besteht aus einer Gruppe von NIDSs, die zusammenarbeiten, um Informationen auszutauschen, die es ihnen ermöglichen, verteilte bösartige Aktivitäten zu erkennen. NIDSs können durch CIDSs unter Verwendung verschiedener Kommunikationsüberlagerungen koordiniert werden.

Aus den verschiedenen Kommunikations-Overlays, die ein CIDSs verwenden kann, ist ein verteilter Ansatz der vielversprechenste. Verteilte Overlays sind skalierbar, dynamisch, resilient und haben keinen zentralen Schwachpunkt. Verteilte CIDSs, die verteilte Overlays verwenden, werden in der Theorie bevorzugt, aber in der Praxis nicht häufig eingesetzt. Es gibt mehrere offene Fragen, die den Einsatz von CIDSs in der Praxis einschränken.

In dieser Arbeit schlagen wir Lösungen vor, mit dem Ziel, einige der noch offenen Fragen zu addressieren, die verhindern, dass verteilte CIDSs in der Praxis nutzbar werden. Unsere Beiträge basieren auf verschiedenen Machine Learning (ML) Techniken und Konzepten, um dieses Ziel zu erreichen. Die Arbeit beinhaltet fünf Hauptbeiträge, die jeweils in einem eigenen Kapitel beschreiben werden. Unsere spezifischen Beiträge lauten wie folgt.

Datensatzerstellung

Wir untersuchen das Feld wissenschaftlicher Arbeiten zu Intrusion Detection System (IDS), um die Datensätze zu analysieren und zu kategorisieren, die zur Entwicklung, zum Vergleich und zum Testen von NIDSs und CIDSs verwendet werden. Aus den Defiziten, die wir in den Datensätzen gefunden haben, entwickeln wir eine Klassifizierung für Datensatzprobleme. Mit unserer Klassifizierung von Datensatzproblemen entwickeln wir Konzepte zur Erstellung geeigneter Datensätze zum Trainieren und Testen ML-basierter NIDSs und CIDSs. Mit unseren Konzepten injizieren wir synthetische Angriffe in realen Hintergrunddatenverkehr. Die erzeugten Angriffe replizieren die Eigenschaften des Hintergrunddatenverkehrs, um Angriffe dadurch von echtem Datenverkehr ununterscheidbar zu machen.

Einbruchserkennung

Wir schlagen ein anomaliebasiertes NIDS vor, das in der Lage ist, einige der Einschränkungen von NIDSs zu überwinden, die auftreten, wenn diese in großen Netzwerken eingesetzt werden. Unser anomaliebasiertes NIDS nutzt Autoencoder und Dropout, um Modelle der Normalität zu erstellen, die das Verhalten großer Netzwerke akkurat beschreiben. Unser NIDS skaliert hinsichtlich der Anzahl analysierter Merkmale, ist resilient gegenüber dem Lernen auf Datensätzen, die Angriffe beinhalten, arbeitet in Echtzeit und hat eine genaue Erkennungsrate bei minimaler Anzahl von Fehlalarmen.

Erstellung von Gemeinschaften

Wir formulieren Konzepte zum Aufbau von Gemeinschaften von NIDSs, genannt gemeinschaftsbasierte CIDSs. Diese implementieren zentralisierte ML Algorithmen in einer verteilten Umgebung. Gemeinschaftsbasierte CIDSs erkennen verteilte Angriffe durch den Einsatz von Ensemble Learning. Ensemble Learning wird verwendet, um lokale ML Modelle zu kombinieren, die von verschiedenen Gemeinschaften erstellt wurden, um netzwerkweite Angriffe zu erkennen, die einzelne Gemeinschaften sonst nur schwer erkennen würden.

Informationsverbreitung

Wir entwickeln eine Verbreitungsstrategie, die speziell auf CIDSs zugeschnitten ist. Die Strategie ermöglicht es NIDSs, Informationen effizient zu verbreiten, um ähnliche Netzwerkereignisse zu erkennen und daraus Rückschlüsse zu ziehen, um potenziell verteilte Angriffe aufzudecken. Im Gegensatz zu anderen Verbreitungstechniken kodiert, aggregiert, korreliert und teilt unsere Verbreitungsstrategie Netzwerkmerkmale effizient und minimiert gleichzeitig den Netzwerk-Overhead. Bayes'sche Netzwerke und Sketches dienen hierbei als Hebelmechanismen.

Kollusionserkennung

Wir entwickeln einen evidenzbasierten Vertrauensmechanismus, der erkennt, ob die NIDSs einer CIDS ehrlich, nach den Zielen der CIDS, oder unehrlich handeln. Der Vertrauensmechanismus nutzt die Zuverlässigkeit der Sensoren und orientiert sich an Bayes'schen Schätzern, um Vertrauenswerte zu berechnen. Der Mechanismus wurde entwickelt, um nicht nur einzelne unehrliche NIDSs, sondern auch mehrere Koalitionen von unehrlicher NIDSs zu erkennen. Eine Koalition ist eine koordinierte Gruppe von unehrlichen NIDSs. Die NIDSs einer Koalition lügen, um ihre Vertrauenszahlen zu erhöhen und die Vertrauenszahlen anderer außerhalb der Koalition zu reduzieren.