Статистический анализ временных рядов для обнаружения PortScan и DDoS

изучение факторов, влияющих на эффективность алгоритма скользящих окон на основе Z-оценки

Аннотация

В ходе выполнения работы в рамках этой статьи были исследованы статистические методы обработки временных рядов Z-оценка и модифицированная Z-оценка при обнаружении PortScan и DDoS аттак. Составлены 6 временных рядов из следующих характеристик трафика: cреднее количество пакетов, переданных от источников к получателям, скорость передачи данных от источника к приемнику, скорость передачи данных ответа, продолжительность соединения между источником и пунктом назначения, вычисленная энтропия на основе портов назначения каждого источника IP, количество уникальных портов назначения, подключенных каждым источником IP. Для оценки выше перечисленных статистических методов были использованы метрики достоверности, точности, отклика и F1-меры. Полученные численные результаты показывают, что модифицированная Z-оценка вызывает меньше ложно-положительное срабатывание по сравнению с Z-оценкой при обнаружении изучаемых сетевых угроз, что влияет на оценку перечисленных метрик. Достигнутые показатели F1-меры модифицированной Z-оценкой при обнаружении DDoS атак в районе 93%-98% в зависимости от использумой харастеристики трафика. F1-мера при обнаружении Portscan не превышает 58% в лучшем случае. Детальный анализ показал, что все обнаруженные PortScan относят к быстрому сканированию портов, так как данный вид сканирование вызывает сплеск трафика. Этот факт отражается через локальное нарушение стационарность временных рядов. Данные выводы подтвержены ADF и KPSS статистическими тестами, проведенными для проверки разных гипотез о стационарности рядов.