วิธีการทำเหมืองข้อมูลสำหรับการตรวจจับและป้องกันการบุกรุก
การทำเหมืองข้อมูลคือกระบวนการค้นหาความสัมพันธ์, รูปแบบ, และแนวโน้มที่มีประโยชน์และใหม่ๆ โดยการคัดลอกผ่านปริมาณข้อมูลมากที่จัดเก็บในที่เก็บ (Repositories) ใช้เทคโนโลยีการจดจำรูปแบบ (Pattern Recognition) รวมถึงเทคนิคทางสถิติและคณิตศาสตร์ เป็นการวิเคราะห์ชุดข้อมูลข้อเท็จจริง (Factual Datasets) เพื่อค้นพบความสัมพันธ์ที่ไม่ได้คาดหวัง และสรุปบันทึกในวิธีใหม่ที่เป็นทั้งมีเหตุผลและมีประโยชน์ต่อเจ้าของข้อมูล
ความปลอดภัยของระบบคอมพิวเตอร์และข้อมูลของเราอยู่ในความเสี่ยงต่อเนื่อง การเติบโตอย่างรวดเร็วของเว็บ และความพร้อมใช้งานของเครื่องมือและกลยุทธ์สำหรับการบุกรุกและโจมตีเว็บ เพิ่มขึ้นเรื่อยๆ ทำให้การตรวจจับและการหลีกเลี่ยงการบุกรุก กลายเป็นองค์ประกอบสำคัญของระบบเครือข่าย
การบุกรุก (Intrusion) สามารถแสดงเป็นชุดกิจกรรมใดๆ ที่คุกคามความสมบูรณ์, ความลับ, หรือความพร้อมใช้งานของทรัพยากรเครือข่าย (เช่น บัญชีผู้ใช้, ระบบไฟล์, คอร์นัลระบบ ฯลฯ) ระบบตรวจจับการบุกรุก (IDS) และระบบป้องกันการบุกรุก (IPS) ทั้งคู่ตรวจสอบจราจรเครือข่ายและประสิทธิภาพระบบสำหรับกิจกรรมอันตราย IDS สร้างรายงาน ส่วน IPS ตั้งอยู่ในเส้นตรง และสามารถหลีกเลี่ยง/บล็อกการบุกรุกที่ระบุได้อย่างกระทำงาน
ภารกิจของ IPS: ระบุกิจกรรมอันตราย, บันทึกข้อมูล, พยายามบล็อก/หยุดกิจกรรม, และรายงานกิจกรรม
ส่วนใหญ่ของระบบ IDS/IPS ใช้การตรวจจับแบบลายเซ็น (Signature-based) หรือ แบบความผิดปกติ (Anomaly-based)
1. การตรวจจับแบบลายเซ็น (Signature-based Detection)
วิธีการตรวจจับนี้ใช้ลายเซ็น (Signatures) ซึ่งเป็นรูปแบบการโจมตี (Attack Patterns) ที่กำหนดค่าล่วงหน้าและคงที่ (Preconfigured and Fixed) โดยผู้เชี่ยวชาญด้านโดเมน ระบบ IPS แบบลายเซ็นตรวจสอบจราจรเว็บสำหรับการจับคู่ (Matches) กับลายเซ็นเหล่านี้
เมื่อพบการจับคู่ ระบบ IDS จะจัดการกับความผิดปกติ และระบบ IPS จะดำเนินการที่เหมาะสมมากขึ้น เนื่องจากระบบมักเป็นไดนามิก ลายเซ็นจึงต้องอัปเดตด้วยแรงงาน (Laboriously) ทุกครั้งที่เวอร์ชันแอปพลิเคชันใหม่ ปล่อยออกมา หรือมีการเปลี่ยนแปลงในการกำหนดค่าเครือข่าย หรือสถานการณ์อื่นๆ ปรากฏขึ้น
ข้อจำกัดหลัก: โครงสร้างการตรวจจับแบบนี้ สามารถระบุได้เฉพาะกรณีที่ตรงกับลายเซ็น ไม่สามารถระบุการบุกรุกใหม่หรือที่ไม่เคยรู้จักมาก่อนได้
2. การตรวจจับแบบความผิดปกติ (Anomaly-based Detection)
วิธีนี้สร้างแบบจำลองพฤติกรรมเครือข่ายปกติ (Profiles) ที่ใช้ระบุรูปแบบใหม่ที่เบี่ยงเบนอย่างมีนัยสำคัญจากโปรไฟล์ การเบี่ยงเบนดังกล่าวอาจกำหนดการบุกรุกจริง หรือเพียงแค่เป็นพฤติกรรมใหม่ที่ต้องเพิ่มเข้าไปในโปรไฟล์
ข้อดีของการตรวจจับความผิดปกติ: สามารถระบุการบุกรุกใหม่ที่ยังไม่เคยสังเกตได้ โดยทั่วไป นักวิเคราะห์มนุษย์ควรคัดแยกผ่านการเบี่ยงเบน เพื่อตรวจสอบว่าอันไหนกำหนดการบุกรุกจริง ปัจจัยจำกัดของการตรวจจับความผิดปกติคือ อัตรา False Positives (บวกเท็จ) สูง รูปแบบการบุกรุกใหม่สามารถเพิ่มเข้าไปในชุดลายเซ็น เพื่อปรับปรุงการตรวจจับแบบลายเซ็น
