New Paradigms for Large-Scale Network Security based on Machine Learning

Signaturbasierte Intrusion-Detection-Methoden können in der Erkennung von neuen Angriffen Limitierungen aufweisen, was zur einer Umstellung von klassischen Erkennungsmethoden auf anomaliebasierte Ansätze führt. Im Rahmen dieser Dissertation ergeben sich daraus drei Herausforderungen für Umgebungen mit hohem Netzwerkaufkommen: (i) die Vergleichbarkeit von Modellen, die auf unterschiedlichen Deep Packet Inspection (DPI)-Bibliotheken trainiert wurden, ist limitiert, (ii) die Umgehung von Malware-Erkennung durch Angreifer beruht auf versteckten Kanälen in Protokollen, die die Eigenschaften von Klassifikatoren für maschinelles Lernen umgehen, und (iii) neu entwickelte Modelle benötigen geeignete Lösungen, um in Produktionsumgebungen mit hohem Durchsatz zu arbeiten. Diese Dissertation zielt darauf ab diese Lücken zu schließen und untersucht neue Paradigmen der Netzwerksicherheit mittels maschinellem Lernens für große Netzwerkumgebungen. Die Beiträge konzentrieren sich auf die Erkennung von Malware-Kommunikation auf Byte-Ebene, um die Vergleichbarkeitsprobleme von DPI-Bibliotheken zu lösen, auf die Untersuchung von Domain Name System (DNS) Anfragen für Tunnelling-Angriffe und Malware-Kommunikation, um verdeckte Kanäle im DNS Protokoll zu adressieren, sowie auf die Analyse von hohem Netzwerkaufkommen mit geringer Latenz zu bearbeiten und auf einen experimentellen Ausblick auf Large Language Models (LLMs) für die Netzwerksicherheit.

Zusammen liefern diese Beiträge einsetzbare, DPI-unabhängige, protokollagnostische Erkennungsverfahren, die die operative Sicherheit großer Netzwerke weiter verbessern.