Статистический анализ временных рядов для обнаружения Port Scan и DDoS

Abstract

В ходе этой научной статьи статистические методологии анализа временных рядов, в частности Z-оценка и модифицированная Z-оценка, были рассмотрены в контексте обнаружения атак Port Scan и распределенного отказа в обслуживании (DDoS). Было построено шесть различных временных рядов с использованием следующих характеристик трафика: среднее количество пакетов, передаваемых от источников к получателям, скорость передачи данных от источника к получателю, скорость передачи ответных данных, продолжительность соединения между источником и адресатом, вычисленная энтропия на основе портов назначения, связанных с каждым IP-источником, и количество уникальных портов назначения, доступных каждому IP-источнику. Для оценки вышеупомянутых статистических методологий использовались показатели надежности, точности, времени отклика и показатели F1. Полученные численные результаты показывают, что модифицированная Z-оценка снижает количество ложных срабатываний (по сравнению с Z-оценкой) при выявлении исследованных сетевых угроз, что влияет на оценку этих показателей. Результаты измерения F1, полученные с использованием модифицированной Z-оценки при обнаружении DDoS-атак, варьировались от 93 до 98% в зависимости от конкретных проанализированных характеристик трафика. И наоборот, показатель F1 в контексте обнаружения Port Scan в самом оптимальном случае не превышает 58%. Комплексный анализ показал, что все экземпляры, выявленные Port Scan, относятся к категории быстрого сканирования портов, поскольку именно этот метод сканирования приводит к резкому увеличению сетевого трафика. Это явление проявляется в локальном нарушении стационарности временных рядов. Эти выводы были подтверждены статистическими тестами Дики–Фуллера (ADF) и Квятковского–Филлипса–Шмидта–Шина (KPSS), проведенными для оценки различных гипотез относительно стационарности временных рядов.