Automatiserad intrångsdetektion i nätverkstrafik : en studie baserad på CICIDS2017 och Azure AutoML

Sammanfattning

Detta examensarbete undersöker hur artificiell intelligens (AI) och maskininlärning (ML) kan tillämpas för att automatisera analysen av nätverkstrafik i syfte att förbättra detektionen av cyberhot. Studien tar sin utgångspunkt i det ökade behovet av skalbara säkerhetslösningar, till följd av växande datavolymer och en alltmer komplex hotbild, där traditionella manuella analysmetoder uppvisar betydande begränsningar.Syftet är att analysera hur AI- och ML-tekniker kan användas för att identifiera mönster och anomalier i rå nätverkstrafik, samt att utvärdera i vilken grad dessa tekniker kan ersätta eller komplettera manuell threat hunting. Studien syftar även till att belysa de möjligheter och begränsningar som är förenade med automatiserad hotdetektion i operativa cybersäkerhetsmiljöer.Metodologiskt har en explorativ, kvalitativ forskningsansats tillämpats. Klassificeringsmodeller har tränats och utvärderats i Microsoft Azure AutoML, baserat på det simulerade och standardiserade CICIDS2017-datasetet. Modellernas prestanda har bedömts med hjälp av AUC, precision och recall. Därtill har en semistrukturerad intervju med ett cybersäkerhetsföretag genomförts för att tillföra ett praktiskt perspektiv på studiens resultat.Resultaten visar att modellerna VotingEnsemble och LightGBM uppnår mycket hög träffsäkerhet, särskilt vid detektion av frekventa attacker såsom DDoS och PortScan. Däremot identifierades begränsningar vid detektering av ovanligare attacker, exempelvis Heartbleed, vilket kan tillskrivas obalanser i träningsdatan. Intervjun med det deltagande säkerhetsföretaget visar att AI och ML inte endast är av teoretiskt intresse, utan utgör praktiskt nödvändiga verktyg för att hantera den datamängd och det hotlandskap som moderna organisationer ställs inför.