Статистический анализ временных рядов для обнаружения PortScan и DDoS - Djeguede, Adeyemi Marc Aurele Emmanuel (Современные информационные технологии и ИТ-образование; Том 21 № 2 (2025): Современные информационные технологии и ИТ-образование, 2025)
В ходе выполнения работы в рамках этой статьи были исследованы статистические методы обработки временных рядов Z-оценка и модифицированная Z-оценка при обнаружении PortScan и DDoS аттак. Составлены 6 временных рядов из следующих характеристик трафика: cреднее количество пакетов, переданных от источников к получателям, скорость передачи данных от источника к приемнику, скорость передачи данных ответа, продолжительность соединения между источником и пунктом назначения, вычисленная энтропия на основе портов назначения каждого источника IP, количество уникальных портов назначения, подключенных каждым источником IP. Для оценки выше перечисленных статистических методов были использованы метрики достоверности, точности, отклика и F1-меры. Полученные численные результаты показывают, что модифицированная Z-оценка вызывает меньше ложно-положительное срабатывание по сравнению с Z-оценкой при обнаружении изучаемых сетевых угроз, что влияет на оценку перечисленных метрик. Достигнутые показатели F1-меры модифицированной Z-оценкой при обнаружении DDoS атак в районе 93%-98% в зависимости от используемой характеристики трафика. F1-мера при обнаружении Portscan не превышает 58% в лучшем случае. Детальный анализ показал, что все обнаруженные PortScan относят к быстрому сканированию портов, так как данный вид сканирование вызывает всплеск трафика. Этот факт отражается через локальное нарушение стационарность временных рядов. Данные выводы подтверждены ADF и KPSS статистическими тестами, проведенными для проверки разных гипотез о стационарности рядов.