การทำเหมืองข้อมูลช่วยระบบตรวจจับ/ป้องกันการบุกรุก (IDS/IPS)
การบุกรุก (Intrusion) สามารถแสดงเป็นชุดกิจกรรมใดๆ ที่คุกคามความสมบูรณ์ (Integrity), ความลับ (Confidentiality), หรือความพร้อมใช้งาน (Availability) ของทรัพยากรเครือข่าย (เช่น บัญชีผู้ใช้, ระบบไฟล์, คอร์นัลระบบ ฯลฯ)
ระบบตรวจจับการบุกรุก (Intrusion Detection Systems - IDS) และระบบป้องกันการบุกรุก (Intrusion Prevention Systems - IPS) ทั้งคู่ตรวจสอบจราจรเครือข่ายและประสิทธิภาพระบบสำหรับกิจกรรมที่เป็นอันตราย IDS สร้างรายงาน (Logs) ส่วน IPS ตั้งอยู่ในเส้นตรง (In-line) และสามารถป้องกัน/บล็อกการบุกรุกที่ตรวจพบได้อย่างกระทำงาน
ข้อดีของ IPS: ระบุกิจกรรมอันตราย, บันทึกข้อมูลเกี่ยวกับกิจกรรม, พยายามบล็อก/หยุดกิจกรรม, และรายงานกิจกรรม วิธีการทำเหมืองข้อมูลสามารถช่วย IDS/IPS เพื่อปรับปรุงประสิทธิภาพในหลายๆ ด้าน ดังนี้:
1. อัลกอริทึมการทำเหมืองข้อมูลใหม่สำหรับการตรวจจับการบุกรุก
อัลกอริทึมการทำเหมืองข้อมูลสามารถใช้สำหรับการตรวจจับแบบลายเซ็น (Signature-based) และแบบความผิดปกติ (Anomaly-based) ทั้งสอง
- Signature-based: ข้อมูลฝึกอบรมมีป้ายกำกับ "ปกติ" หรือ "บุกรุก" ตัวจำแนก (Classifier) สามารถสร้างขึ้นเพื่อระบุการบุกรุกที่รู้จัก งานวิจัยเกี่ยวข้องกับการประยุกต์ใช้อัลกอริทึมการจัดประเภท, การทำเหมืองกฎการเชื่อมโยง (Association Rule Mining), และการสร้างแบบจำลองค่าใช้จ่าย (Cost-sensitive Modeling)
- Anomaly-based: สร้างแบบจำลองพฤติกรรมปกติ และระบุการเบี่ยงเบนที่สำคัญจากมันโดยอัตโนมัติ แนวทางรวมถึงการประยุกต์ใช้การจัดกลุ่ม (Clustering), การวิเคราะห์ค่าผิดปกติ (Outlier Analysis), อัลกอริทึมการจัดประเภท และวิธีทางสถิติ เทคนิคควรมีประสิทธิภาพและขยายตัวได้ (Scalable) และจัดการข้อมูลเครือข่ายปริมาณมาก, มิติสูง, และหลากหลาย (Heterogeneous) ได้
2. การวิเคราะห์การเชื่อมโยง, สหสัมพันธ์, และรูปแบบแบ่งแยก ช่วยเลือกและสร้างตัวจำแนกที่แบ่งแยกได้ (Discriminative Classifiers)
การทำเหมืองการเชื่อมโยง, สหสัมพันธ์, และรูปแบบแบ่งแยก (Discriminative Pattern Mining) สามารถใช้เพื่อค้นพบความสัมพันธ์ระหว่างแอตทริบิวต์ระบบที่อธิบายข้อมูลเครือข่าย ข้อมูลดังกล่าวช่วยให้ได้ข้อมูลเชิงลึกเกี่ยวกับการเลือกแอตทริบิวต์ที่มีประโยชน์สำหรับการตรวจจับการบุกรุก แอตทริบิวต์ใหม่ที่สร้างจากบันทึกรวม (Aggregated Records) ก็อาจมีประโยชน์ เช่น จำนวนสรุปของจราจรที่ตรงกับรูปแบบเฉพาะ
3. การวิเคราะห์ข้อมูลสตรีม (Analysis of Stream Data)
เนื่องจากลักษณะชั่วคราวและไดนามิก (Transient and Dynamic) ของการบุกรุกและการโจมตีอันตราย จำเป็นต้องดำเนินการตรวจจับการบุกรุกในสภาพแวดล้อมข้อมูลสตรีม (Data Stream Environment) อีกทั้ง เหตุการณ์อาจเป็นปกติด้วยตัวเอง แต่ถือเป็นอันตราย หากพิจารณาเป็นส่วนหนึ่งของลำดับเหตุการณ์ ดังนั้น จำเป็นต้องศึกษาว่าลำดับเหตุการณ์ใดบ้างที่พบได้บ่อย ค้นพบรูปแบบลำดับ (Sequential Patterns) และระบุค่าผิดปกติ (Outliers) มีหลายวิธีการทำเหมืองข้อมูลสำหรับการค้นพบกลุ่มที่พัฒนา (Evolving Clusters) และสร้างโมเดลการจัดประเภทแบบไดนามิก (Dynamic Classification Models) ในสตรีมข้อมูล ที่สำคัญสำหรับการตรวจจับการบุกรุกแบบเรียลไทม์ (Real-time)
4. การทำเหมืองข้อมูลแบบกระจาย (Distributed Data Mining)
การบุกรุกอาจปล่อยออกจากหลายสถานที่ และมุ่งเป้าไปหลายปลายทางที่ต่างกัน วิธีการทำเหมืองข้อมูลแบบกระจายสามารถใช้เพื่อสำรวจข้อมูลเครือข่ายจากหลายสถานที่เครือข่าย เพื่อระบุการโจมตีแบบกระจายเหล่านี้
5. เครื่องมือการแสดงผลและสอบถาม (Visualization and Querying Tools)
เครื่องมือการแสดงผลควรพร้อมใช้งานสำหรับพิจารณารูปแบบผิดปกติที่ตรวจพบ เครื่องมือเหล่านี้อาจรวมฟีเจอร์สำหรับดูการเชื่อมโยง, รูปแบบแบ่งแยก, กลุ่ม, และค่าผิดปกติ ระบบตรวจจับการบุกรุกต้องมีอินเทอร์เฟซผู้ใช้แบบกราฟิก (GUI) ที่ช่วยให้นักวิเคราะห์ความปลอดภัย สามารถสอบถามคำถามเกี่ยวกับข้อมูลเครือข่าย หรือผลลัพธ์การตรวจจับการบุกรุกได้
