Sistema híbrido (centralizado y descentralizado) de detección de intrusiones basado en inteligencia artificial

Abstract

[ES] En este proyecto se propone la definición, especificación e implementación de un sistema de detección de intrusiones en redes. Para ello se seleccionará un conjunto de ataques de entre los más habituales. Para cada uno de ellos se analizarán los parámetros significativos del tráfico de las redes que puedan inducir a pensar que se está produciendo un ataque con este perfil. Tras el estudio teórico, se implementará un sistema de alarma híbrido centralizado/distribuido basado en técnicas de Inteligencia Artificial (IA). El sistema consiste en un conjunto de nodos detectores (sensores) que analizarán de forma pasiva el tráfico que transcurre por el segmento de la red que observan. Estos nodos dispondrán de capacidades de IA por lo que podrán, de forma autónoma, tomar decisiones en función del tráfico observado acerca de la necesidad de alertar a los administradores del sistema de una posible intrusión. El sistema se complementa con un elemento centralizado (monitor) que recibirá datos de los nodos sensores y buscará en ellos indicios de intrusión aplicando técnicas computacionalmente más complejas de Inteligencia Artificial. Este dispositivo dispondrá de una visión completa de la topología de la red y, por tanto, mayor capacidad de detección. Todo ello durante el funcionamiento habitual de la red... Por sencillez y coste, la comunicación entre sensores y monitor se realizará empleando la red monitorizada. Para minimizar la intrusión sobre la misma, este tráfico se adaptará al estado de carga de la red, decidiendo transmitir datos parametrizados – realizando un preproceso del tráfico observado para detectar los parámetros relevantes del mismo - o bien las trazas completas para que el nodo monitor pueda detectar intrusiones de una forma más detallada. La ventaja más significativa del sistema de detección de intrusiones propuesto es la posibilidad de detectar una serie de ataques predefinidos anteriormente mediante un mecanismo híbrido centralizado/distribuido basado en técnicas de inteligencia artificial.

[EN] This project proposes the definition, specification, and implementation of a network intrusion detection system. To do this, a set of attacks will be selected from among the most common. For each of them, the significant parameters of the traffic of the networks that may lead to think that an attack with this profile is taking place will be analyzed. After the theoretical study, a hybrid centralized / distributed alarm system based on Artificial Intelligence (AI) techniques will be implemented. The system consists of a set of detector nodes (sensors) that will passively analyze the traffic that passes through the network segment they observe. These nodes will have AI capabilities so they can autonomously make decisions based on observed traffic about the need to alert system administrators of a possible intrusion. The system is complemented with a centralized element (monitor) that will receive data from the sensor nodes and will search them for signs of intrusion by applying computationally more complex Artificial Intelligence techniques. This device will have a complete view of the network topology and, therefore, greater detection capacity. All this during the normal operation of the network ... For simplicity and cost, communication between sensors and monitor will be carried out using the monitored network. To minimize intrusion on it, this traffic will adapt to the load status of the network, deciding to transmit parameterized data - performing a preprocessing of the observed traffic to detect its relevant parameters - or the complete traces so that the monitor node can detect intrusions in a more detailed way. The most significant advantage of the proposed intrusion detection system is the possibility of detecting a series of previously predefined attacks using a hybrid centralized / distributed mechanism based on artificial intelligence techniques.