شناسايي حملات برنامه‌هاي كاربردي تحت وب با استفاده از تركيب دسته‌بندهاي تك‌كلاسي

Detection of Attacks against Web Applications Using Combination of One-Class Classifiers

بخش مهمي از آمادگي دفاعي كشور در شرايط تهديدات نامتقارن، اتخاذ راهبردهاي دفاعي غيرعامل است. به دليل گستردگي كاربرد و حساسيت سامانه‌هاي تحت وب و با توجه به رشد روزافزون تهديدات امنيتي، اين سامانه‌‌ها به ‌يكي از آسيب‌‌پذيرترين اهداف دشمن تبديل شده اند. كشف حملات سايبري به مراكز ثقل كشور را مي‌توان يكي از روش‌هاي بالا بردن آستانه مقاومت ملي دانست. تشخيص ناهنجاري سامانه‌هاي تحت وب رويكردي است كه بر كشف حملات جديد و ناشناخته تاكيد دارد. در اين مقاله روشي براي تشخيص ناهنجاري در برنامه‌هاي كاربردي تحت وب با استفاده از تركيب دسته‌بندهاي تك‌كلاسي پيشنهاد شده است. در مرحله آموزش بردارهاي ويژگي استخراج شده مرتبط با هر درخواست HTTP، وارد سامانه شده و نمونه شبيه‌سازي شده درخواست عادي توسط هر دسته‌بند يادگيري مي‌شود. سپس با استفاده از روش‌هاي مختلف تركيب دسته‌بندهاي تك‌كلاسي، بار ديگر نمونه شبيه‌سازي شده درخواست عادي HTTP به سامانه يادگيري منتقل مي‌شود. براي تركيب دسته‌بندها از استراتژي‌هاي مختلف تركيب، جهت تصميم‌گيري گروهي استفاده شده است. نتايج ارزيابي‌هاي كمي و كيفي روش پيشنهادي بر روي پايگاه‌داده CSIC2012، بيانگر نرخ تشخيص حدود 99 درصد در مدل‌سازي با روش‌هاي تركيبي و حداكثر نرخ هشدار نادرست 2/0 مي باشد. رويكرد سامانه پيشنهادي در استفاده از تصميم‌گيري گروهي، معيارهاي كارآيي سامانه تشخيص ناهنجاري را به خوبي بهبود ‌بخشيده است.

The passive defence strategies are used to protect the national security in the asymmetric defence conditions. The web application is one of the most widely used tools in the World Wide Web. Because of its dynamic nature, it is vulnerable to serious security risks. The discovery of cyber-attacks can be seen as a method of enhancing national resistance. Anomaly based intrusion detection is an approach that focuses on the new and unknown attacks. A method for anomaly detection in web applications using a combination of one-class classifiers is proposed. In the preprocessing phase, normal HTTP traffic is logged and features vector is extracted from each HTTP request. The proposed method consists of two steps; in the training phase, the extracted features vectors associated with each request enter the system and the model of normal requests, using combination of one-class classifiers, is learned. In the detection phase, anomaly detection operation is performed on the features vector of each HTTP request using the learned model of the training phase. S-OWA operator and other combination methods are used to combine the one-class classifiers. The data used for training and test are from CSIC2012 dataset. The detection and false alarm rates obtained from experiments, shows better results than those obtained by other methods.