Visualisasi serangan remote to local dengan clustering k means
- 1. Visualisasi Serangan Remote to Local (R2L) Dengan Clustering K-means Presented by : Eko Arip Winanto 09121001040 Supervisor : Deris Stiawan. Ph.D 2017
- 2. Choi, Lee, Kim, 2009 Intrusion Detection System dengan teknik deteksi attack signatures tidak bisa mendeteksi tipe serangan baru yang tidak ada pada database serangan. Intrusion Detection System yang menggunakan mekanisme attack anomaly dapat mendeteksi beberapa variasi serangan baru, tetapi sering menghasilkan false alarms yang cukup besar. Untuk mengatasi kelemahan tersebut salah satu pendekatan yang dapat digunakan adalah dengan memvisualisalaikan serangan dengan cara yang sederhana atau grafik. Yanping, Yang 2012 Sistem visualisasi serangan dapat membantu user untuk mendeteksi pola serangan dengan lebih cepat, dan apabila dikombinasikan dengan teknologi seperti data mining atau machine learning, sistem visualisasi akan lebih efektif dalam mendeteksi pola serangan Spathoulas, Katsikas, 2013 Menggunkan metode clustering untuk mendeteksi serangan pada dataset. Latar Belakang Jeya, Ravichandr an,2012 Remote to Local adalah serangan dimana attacker tidak memiliki akses ke dalam sebuah sistem tetapi mencoba untuk akses.
- 3. Tujuan Melakukan ekstraksi pada paket header pada dataset DARPA 99. Menerapkan algoritma k-means untuk mendeteksi paket serangan remote to local atau normal. Membuat algoritma untuk visualisasi serangan Remote to Local (R2L) dalam bentuk grafik. 1 2 3 Melakukan perhitungan terkait akurasi deteksi serangan Remote to Local dengan algoritma k-means. 4
- 4. Metodologi Feature Extraction Clustering Visualisasi • Membaca Dataset • Mengekstrak header • Simpan ke database • Hitung akurasi deteksi • Membaca Data hasil clustering • Plot dalam grafik • Mencari Pola • Normalisasi Data • Clusterig Data • Simpan ke Databases Metodologi
- 5. Feature Extraction Hasil 2 nomor paket, timestamp, service, source address, destination address, port source, port destination, sequence, acknowledgment, window, flags, ttl, ip length, ip ceksum, ip id, ip offset, tcp length, dan protocol Feature 1
- 6. Mencari Pola Title Memasukkan dataset DARPA 99 untuk dibaca oleh snort sehingga didapat alert yang berisi informasi paket serangan.01 Hasil alert snort kemudian dibandingkan dengan dataset apakah paket tersebut ada dalam dataset (.tcpdump).02 Untuk mencari atribut-atribut unik maka dapat dicari dari hasil feature extraction, untuk memastikan bahwa paket tersebut adalah benar serangan maka dapat divalidasi dengan melihat apakah ada paket yang sama pada baris berikutnya. 03
- 7. Pola Serangan Remote to Local
- 10. Confusion Matrix No Binary Classification Hari Ke - | Hasil Clustering 1 2 3 4 5 1 TP 207 357 392 1374 151 2 FP 0 0 2 1 2 3 TN 1580545 123139 1237432 1557874 1241638 4 FN 0 0 0 0 0 Detection Rate Confusion Matrix No Binary Classification Hari Ke - | Hasil Clustering 1 2 3 4 5 1 TPR 1 1 1 1 1 2 FPR 0 0 1.616248x10-6 6.419x10-7 1.616248x10-6 3 TNR 1 1 0.9999983838 0.9999993581 0.9999983892 4 FNR 0 0 0 0 0 5 Akurasi 1 1 0.9999983843 0.99999935861 0.9999983894
- 14. Perbandingan Hasil Visual parallel coordinate dan Hasil Visual RadViz
- 15. Ftp_write
- 16. Imap
- 17. Snmpget
- 18. Named
- 19. NetBus
- 20. RadViz
- 21. Kesimpulan Hasil clustering k-means sangat dipengaruhi dengan penentuan centroid awal, apabila centroid awal berubah maka hasil clustering juga berubah. 3 Algoritma Clustering K-means dapat diterapkan pada IDS untuk mendeteksi serangan remote to local. 1 Atribut-atribut unik pada paket header dapat digunakan sebagi pola serangan untuk mengenali paket serangan remote to local berupa port destination, flags, ip length dan packet length.2 Evaluasi deteksi dengan confusion matrix menunjukkan detection rate TPR pada pengujian clustering mencapai 100% dengan false positive berkisar pada 0.0001616% untuk kesalahan deteksi. Pada TNR berkisar antara 99.999% dengan false negatif mencapai 100%. 44 5 Parallel coordinate dapat memvisualisasikan serangan remote to local, untuk menutupi kekurangan parallel coordinate dalam membedakan paket serangan dan normal yang mirip maka dikombinasikan dengan metode RadViz.
- 22. Saran Penelitian selanjutnya, dapat menerapkan teknik visualisasi secara real-time. 1 Menerapkan algoritma Clustering yang lain seperti SVM, K-mean ++ dan lain lain untuk melihat perbandingan mana yang lebih baik. 2