https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc en-us 2022-11-12 17:51:25 UTC 2022-11-12 18:40:47 UTC hello@padlet.com tomsilvaleme https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381143586 Anomalias em redes podem causar graves problemas no desempenho da rede, e devem ser identificadas e eliminadas pelos administradores de rede o mais rápido possível. Um tipo específico de anomalia, as chamadas anomalias de volume, é responsável por modificações inusitadas nas características de volume da rede, como a quantidade de pacotes. Estas anomalias podem ser causadas por diversos eventos: de problemas físicos ou técnicos da rede (quedas de energia, configurações problemáticas em roteadores), a um comportamento malicioso intencional (ataques de negação de serviço, tráfego relativo a worms), a mudanças abruptas causadas por tráfego legítimo (flash crowds, alpha flows). As anomalias causadas por ataques de serviço são especialmente importante por serem comuns e terem um forte impacto na qualidade de serviço da rede. ]]> 2022-11-12 18:03:55 UTC https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381143586 tomsilvaleme https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381144993 Anomalia é qualquer coisa que não é regular - algo que se destaca ou não pertence a um cluster. Graças à implementação de tecnologias como ciência de dados, aprendizado de máquina e muito mais, agora podemos medir cada aspecto de nossa atividade comercial. Do desempenho operacional, dos componentes de infraestrutura.]]> 2022-11-12 18:06:52 UTC https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381144993 tomsilvaleme https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381156474 Os primeiros sistemas de detecção de anomalias propostos utilizavam o método baseado nas assinaturas das anomalias. Este método é bastante eficaz e apresenta reduzidas taxas de alarmes falsos. Porém, as redes evoluíram rapidamente e a incapacidade dos sistemas baseados em assinaturas de se adaptarem a novos cenários e tipos de anomalias que surgiam com frequência fez com que os pesquisadores passassem a buscar outra solução. 

Em 1987, Denning (1987) apresentou um trabalho pioneiro que propunha a detecção de anomalias utilizando não mais as características das anomalias a serem identificadas, e sim a caracterização do comportamento normal do tráfego. 

O objetivo do método baseado na caracterização do comportamento normal era tornar os sistemas independentes das características das anomalias que poderiam ser detectadas. Ainda hoje, os sistemas de detecção são classificados nestas duas categorias. Esta seção apresentará a descrição, as vantagens e as desvantagens destas duas categorias de sistemas de detecção de anomalias, detalhando algumas soluções utilizadas na detecção baseada no comportamento normal da rede.

]]> 2022-11-12 18:33:20 UTC https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381156474 tomsilvaleme https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381157137  Na detecção baseada em assinaturas, as anomalias são modeladas de forma que suas principais características sejam levantadas e seja construída uma assinatura, que será armazenada em uma base de informações do sistema. Durante o monitoramento do tráfego de rede, o sistema busca comportamentos que tenham os mesmos atributos das assinaturas contidas na base de informações. Caso sejam encontradas situações semelhantes às descritas nas assinaturas, alarmes são enviados ao administrador de rede. Este método é bastante usado em sistemas de detecção de intrusão. 

 A principal vantagem deste método é que ataques presentes na base de informações podem ser detectados de maneira eficaz, com baixas taxas de falsos positivos. A assinatura reúne uma série de eventos específicos para definir um ataque, permitindo que o problema seja facilmente diagnosticado. Outra importante vantagem reside no fato de que este tipo de sistema começa a proteger a rede logo após a sua implantação, pois não há período de treinamento ou aprendizado sobre o funcionamento da rede. 

 A primeira desvantagem é que os sistemas de detecção baseados em assinaturas não têm a capacidade de detectar ataques com características desconhecidas da sua base. Além disso, sistemas que se baseiam neste método consomem muitos recursos da equipe de administração de redes, já que a base que contém as assinaturas precisa ser constantemente atualizada com os novos ataques criados e novos elementos que foram inseridos no ambiente monitorado (PATCHA; PARK, 2007) (COLE et al., 2005). ]]> 2022-11-12 18:34:58 UTC https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381157137 tomsilvaleme https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381159042  A detecção baseada na caracterização do comportamento normal compara as informações coletadas da rede às características das atividades consideradas normais. 

 O perfil de normalidade é obtido após um estudo do comportamento prévio da rede. Uma situação é considerada anômala quando o seu grau de desvio em relação ao perfil de normalidade é significativo (COLE et al., 2005) (ESTEVEZ-TAPIADOR et al., 2004) (PATCHA; PARK, 2007) (PROENÇA JUNIOR, 2005) (THOTTAN; JI, 2003). 

 A principal vantagem deste método é a capacidade de detectar anomalias desconhecidas. Como a operação de detecção é baseada no conceito de normalidade e não na busca por comportamentos conhecidos e considerados anormais, um ataque com características desconhecidas possivelmente será detectado, simplesmente por fazer com que as atividades da rede se desviem de sua normalidade. 

 A primeira desvantagem é a necessidade de um período de treinamento para que os perfis de normalidade sejam construídos. Outra desvantagem é a alta porcentagem de falsos alarmes encontrados nestes sistemas. Muitas vezes as variações de comportamento são naturais nas redes e podem ser encaradas como desvios de comportamento por estes sistemas. 

A caracterização do tráfego é também uma questão de difícil solução. Normalmente, as estatísticas obtidas no monitoramento das redes apresentam características não estacionárias, que dificultam o estabelecimento de um padrão de operação. Uma modelagem de comportamento de baixa qualidade vai implicar em um sistema ineficiente. Por fim, um invasor pode treinar o sistema gradualmente, de forma que as atividades maliciosas sejam incorporadas ao perfil e consideradas normais. ]]> 2022-11-12 18:39:45 UTC https://padlet.com/tomsilvaleme/dgfeeors6ce3tfvc/wish/2381159042