Paso 1:Preprocesamiento de datos
- Recopilar y preprocesar datos de tráfico de red.
- Extraiga características relevantes de los datos del tráfico de la red, como direcciones IP de origen y destino, números de puerto, tamaños de paquetes y marcas de tiempo.
Paso 2:Ingeniería de funciones
- Utilizar técnicas estadísticas y de aprendizaje automático para extraer características que sean relevantes para la detección de intrusiones.
- Las características comunes incluyen:
- Funciones basadas en flujo: Estas características describen las características de los flujos de red individuales, como la cantidad de paquetes, la duración del flujo y el tamaño promedio de los paquetes.
- Funciones basadas en host: Estas características describen las características de los hosts individuales, como la cantidad de conexiones realizadas por el host, la cantidad de direcciones IP únicas conectadas por el host y la duración promedio de las conexiones.
- Funciones basadas en red: Estas características describen las características de la red en su conjunto, como la cantidad total de paquetes, la cantidad total de conexiones y la utilización promedio del ancho de banda.
Paso 3:Campos aleatorios condicionales (CRF)
- Entrenar un modelo CRF utilizando los datos etiquetados.
- Utilice una capa CRF para cada tipo de característica (por ejemplo, basada en flujo, basada en host, basada en red).
- Las capas CRF interactuarán entre sí para inferir la secuencia de etiquetas más probable para todo el conjunto de datos.
Paso 4:Detección de intrusiones
- Utilice el modelo CRF entrenado para clasificar nuevos datos de tráfico de red como normales o maliciosos.
- Establecer un umbral para la salida CRF para determinar cuándo se detecta una intrusión.
Paso 5:Evaluación y refinamiento
- Evaluar el rendimiento del sistema de detección de intrusos en un conjunto de datos de prueba.
- Utilice los resultados de la evaluación para refinar las características, el modelo CRF y el umbral.
- Repita los pasos 3 a 5 hasta alcanzar el nivel de rendimiento deseado.
Paso 6:Implementación
- Implementar el sistema de detección de intrusiones en un entorno de producción para proteger la red de amenazas en tiempo real.