ÇOK AMAÇLI GENETİK BULANIK SINIFLAMA İLE SALDIRI TESPİT SİSTEMİ

ÇOK AMAÇLI GENETİK BULANIK SINIFLAMA İLE SALDIRI TESPİT SİSTEMİ Sibel Tarıyan Özyer (1) Tansel Özyer () Çanaya Üniversitesi, Bilgisayar Mühendisliği Bölümü (1) TOBB ETÜ Bilgisayar Mühendisliği Bölümü () tariyan@canaya.edu.tr, ozyer@etu.edu.tr ABSTRACT The aer includes an intrusion detection system (IIDS) that utilizes data mining techniqes: Classification and association rules mining for redicting different behaviours in networ traffic. To achieve this, A boosting genetic fuzzy classifier is roosed. It uses class besed fuzzy association rules to classify instances. Each fuzzy rule is weighted. Fuzzy rules are extracted each time genetic algorithm runs. Near otimal solution at the end of convergence gives the best rule found so far to be involved in fuzzy rle base. KDD Cu 99 data is slit as training and test data. Classifier is trained with training data and then tested against test data nad results are given at the exeriments. Key words: Data mining, classification, fuzzy association rule, genetic algorithm, boosting. 1. GİRİŞ Bu çalışma sınıflandırma ve birliteli urallarını içeren veri madenciliği teniğini ullanara saldırı tesit sistemi urmayı hedeflemetedir. Hedeflenen sistem, ağlarla birleştirilmiş olan bilgisayarların bulunduğu ortamda farlı davranışları tahmin etmetedir. Veri madenciliği otomati olara il baışta dışarıdan anlaşılamayan yaısal bilginin veri tabanlarından elde edilmesidir. Birliteli urallarının amacı veri özellileri arasında birlitelilerin üretilmesine dönütür. Her bir birliteli uralının deste ve güvenirli değeri bulunmatadır. Bu değerler ilgili eşi değerlerinden fazla olma zorundadır. Sınıflandırma bilinmeyen objeleri doğru sınıflandırabilme için mantısal tanımlamaları vermetedir. Sınıflandırma için üç adet geresinim bulunmatadır: Basitli, tamlı ve verimlili. İzinsiz saldırı sistemdei mevcut bütünlüğe, aynaların bulunabilirliğine, gizliliğine zarar verici eylemler ümesidir[14]. Denning saldırı meanizmasını sisteme girilen girdi ve gözlemlenebilen mevcut saldırılarla özetlemetedir [6]. IIDS ullanıcının bilgisayar sistemine giriş davranışlarını belirli uralları uygulayara sınırlandırır. Bu urallar olası saldırı senaryolarını urgulayan sistemi sömüren etenleri bulan uzman bilgisine sahi uzmanlar tarafından belirlenmetedir. Sistem ullanıcılar tarafından yaılan tüm saldırıları tanımlar; ardından eylemleri durdurur ya da saldırıyı durdurma amaçlı tavsiyelerde bulunur. Saldiri tesit sisteminde amacı dışında ullanma ve anomali tesiti gibi ii farlı yalaşım yer almatadır[7]: Amacı dışında ullanım bilinen örüntülere bağlı alara ötü niyetli ativiteleri belirler. IDS IDS yaanlar ötü niyetli ativitelerin en güncel hallerini yüleyere oluşabilece zararlara arşı mümün olduğunca orumaya çalışırlar. Anomali tesitinde ise, normal ya da ağın temel çizgisindei davranışlar(yü, arıza, rotool, ve tii aet büyülüleri) ile anormal durumlar gözlenir. Saldırı tesit roblemlerinin çözümü için birço yalaşım bulunmatadır. Lee et al[1] birliteli urallarını ve bölüm sılığı tenilerini sistemi denetleme ve saldırı tesiti modelini urma için ullanmışlardır. Özniteliler ile ısıtların oluşturulması ilgili örünütlerin bulunması ve seviye bazında yinelemeli olara seviye bazlı madencili işleminden geçirilere düşü sılıta örüntülerin yarı otomati bir şeilde satanmıştır. NIDES[0] sistemi istatistisel metodları ullanara onu ve rofil ativitelerini tutara anomali tesiti yamaya çalışmatadır. Ativite yoğunluğu, denetlenen ayıt dağılımı, ategorisel ve sıralı veriler üzerinde istatistisel ölçümler yaılmatadır. Yaay sinir ağları ullanılara soyut omutlar sıralı birim bilgi cinsinden belirtilir. Verilen adet omut ile sonrai omut tahmin edilir. Bunun için sinir ağları eğitilir. Kullanıcı rofilleri belirlenir. Test adımında belenen davranışlardan sama durumlarında anomaly oluşmuştur diye ifade edilir[7,3]. Kısa dizilerden oluşam system çağrıları tahmin işlevini yürütür. Hamming uzalı ile eşiten sama mitarı belirlenir [1, 3]. Doğal bağışılı sistemi dağıtı yaıda önerilen başa bir metottur. Kendinden ve endinden olmayan davranışlar dağıtı ozitif ve negative belirleyiciler ullanılara birbirinden ayırt edilmetedir[10]. Ço etmenli mimari ullanılara da bağımsız varlılar, otonom etmenler olletif çalışara saldırı tesit edebilirler[]. Bir başa uygulamada etmenler geneti rogramlama üzerine inşa edilmişlerdir[4]. Geneti rogramlamanın öğrenme gücüne dayandırara etmen arası sıralama sonucu en yüse 15

soru alan etmenler saldırı tesit için seçilirler. Bunun dışında, ümeleme tenileri ullanılara etietlenmemiş veriler üzerinde anomali tesiti yaılır[, 6]. Evrimsel bulanı sınıflandırıcılar da saldırı tesit sistemlerinin çözümü için ullanılmışlardır[9]. Sistem eğitilmesi için log verileri ullanılır. Bu sayede urallar elde edilir. Elde edilen urallar normal ve normal olmayan davranışlara ilişin urallardır. İlgili maalenin amacı ço amaçlı evrimsel ve bulanı mantı yöntemlerini ullanara normal ve normal olmayan urallar için urallar oluşturma; ilgili uralları ullanara mevcut verileri sınıflandırmatır. Bu çalışma ilgili ağ trafi davranışlarını farlı sınıflara göre etietlendirir. Birliteli urallarının armaşı olmaması ve -6 arasında olması düşünülmüştür. Beş farlı sınıf bilgisi bulunmatadır: Normal, PRB-robe, DOS-denial of service, UR-user to root and RL- remote to local [8]. Güçlendirilmiş sınıflandırma algoritması ile adet alt uygunlu fonsiyonu birleştirilere en iyi soru alan urallar ural veri tabanına elenmetedir. Geneti algoritmayı her çalıştırışta objelerin dağılımı farlı olmatadır. Güçlendirilmiş sınıflandırıcı bir öncei aşamada sınıflandıramadığı objelere daha fazla önem vermetedir. Bu da her obje ile ilişilendirilen ağırlı bilgisiyle ontrol edilmetedir. Stem sabit dise bağlı olara ölçelenebilir bir yaıya sahitir. Tüm veriler veri tabanında salanmatadır.. TEMEL ÇALIŞMALAR.1 Bulanı Mantı Bulanı mantıta bulanı ümeler bilinen lasi üme teorisinden farlı olara üme elemanlarının sadece ve sadece bir ümenin elemanı olmasını değil; bütün ümelere farlı derecelerde eleman olması durumu da belirtilebilmetedir[17]. Buna göre her hangi bir X tanım ümesindei bir x elemanı için belirtilen A bulanı ümesinde elemanların değer, üyeli değer iilisi şöyle gösterilir: A {(x, A(x)) x X Bulanı mantı ümeleri farlı şeillerde arametri olara gösterilebilirler. Şeil 1 Beşe bölünmüş bulanı uzay (D: Düşü, DO: Düşü Orta, O:Orta, OY: Orta Yüse, Y: Yüse) IF x 1 is 1 and x is and and x n is n THEN class is c q uralında Bulanı mantı ile herhangi bir x= (x 1, x,x n ) objesi her boyutta özniteli sayısal değer içermetedir. Her bir i bulanı üme ve üyeli derecesi μ i ise, oşul ısmı ilgili uralın gücünü gösterir. min. q Bulanı mantı saldırı tesit için ii nedenle uygundur: 1) Saldırı tesit verisinde sayısal değerler yer almatadır. ) Bulanı mantı ile esin çizgilerle sayısal verileri sınıflandırma yerine bir ço niteliten oluşmuş verinin ürüzsüz bir şeilde sınıflandırmasına olana sağlar[3]. Birliteli uralları özniteliler içindei değerler arasında ilişilerin tanımanması için ullanılır. En bilinen örneği maret satış verilerinde elde edilen bira, bebe bezi arasında ilişidir. Buna göre bira alan müşteriler aynı zamanda bebe bezi de almatadırlar. Bu durum azarlama stratejisi olara belirleni maret içinde ilgili ürünlerin yaın yerleştirilmesi düşünülmüştür. Bulunan ural, bira bebe bezi şelinde gösterilir. Birliteli uralında deste ve güvenirli arametreleri ullanılır. Uygulama tarafından verilmiş olan minimum deste ve güvenirli arametreleri eşi değer olara ullanılara verilern veri ümesi içindei anlamlı birliteliler ve sonrasında urallar yinelemeli bir işlem ile elde edilir. Cq şelinde uralın solunda özniteli değerleri ve sağında ilgili sınıf bilgisi yer almatadır. Sol bir ural için bulanı mantı ullanara birliteli uralları elde edilebilir[15, 13]. deste ( C) ( x ) / m classcq n classcq guvenirli( C) ( x ) 1.. m ( x ) 16

Elde edilece olan urallar ile verileri sınıflandırma amaçlanmatadır. Buna göre, veri ümesindei verilerden urallar elde edili sınıflandırma amacıyla ullanılacatır. Elde edilen urallardan il n tanesi ullanılara arar meanizmasında arama uzayı mümün olduğunca üçültülecetir..3 Güçlendirilmiş Evrimsel Bulanı Sınıflandırıcı Bulanı bilgi tabanını ullanan evrimsel algoritmalar onusunda çalışmalar vardır[5]. Evrimsel algoritmaların amacı ya bulanı sistem arametrelerinin iyileşmesine yönelitir ya da bulanı bilgi tabanı tasarımının otomatileşmesine yardımcı olmatır. Güçlendirilmiş sınıflandırma yinelemeli ural öğrenme ile her adımda Öncei adımlarda verilerden öğrenilmeyen hiotezleri öğrenere endini geliştirir[11]. Artara öğrenme yalaşımı benimsemiştir. Fazla sayıda hiotezin birleşiminden oluşmuştur. Evrimsel algoritmalarda sınıflandırma için bulanı mantı ile oluşturulan uralların eniyilemesine ilişin uygulamalar da mevcuttur[4, 6]. birleşme(seçim, çaraz geçiş ve mutasyon) geçirirler. Belirli sayıda yineleme sonucunda evrimleşen romozomlar eniyiye yaın bir değere yaınsarlar. IF x1 is 1 and x is and and xn is n THEN class is cq şelinde bir bir ural için romosome bilgisi şöyledir: Gene1 Gene.. Gene.. Gene n x 1 1 X X * X n n Şeil 3 Kromozom Gösterimi Şeil 3 tei gösterimde * sembolü ilgili özniteliğin diate alınmadığını belirtmetedir. Fitness fonsiyonu ii adet alt fonsiyon içermetedir. Her iisi de birer amaçtır. Veri ümesi içinde her bir objesinin özniteli sayısı ilgili veri ümesindei boyut sayısını verir. Şeil 3tei gibi romozom içinde gereli görülen özniteli değerleri ural oluşturma amacıyla doldurulur. f 1 : c ci w ( x ) w : c ci fonsiyonu verilen urala göre ozitif alı alan değerini vermetedir. Şeil Güçlendirilmiş geneti bulanı sınıflandırıcı Şeil de güçlendirilmiş geneti bulanı sınıflandırıcı mimarisi gösterilmetedir. Her bir yineleme adımında, mevcut veri dağılımı öncei adımlarda elde edilen hiotezlerle yaılan sınıflandırma sonucu yaılan yanlış tahminler sonucu değişecetir. Eldei mevcut veri dağılımı baz alınara geneti algoritma ile bulanı urallar elde edilecetir. Elde edilenlerin en iyi sınıflayanı Daha önce elde edilen bulanı uralların olduğu veri tabanına atarılacatır. Geneti algoritmada ço boyutlu eniyilemede amacı eldei romozomu arama uzayı oordinatlarına geri döndürere en iyi ya da en iyiye yaın çözümleri elde etmetir. Geneti algoritma başlangıç oulasyonu ile başlar. Poulasyonda romozomlar bulunmatadır. Her romozom bir tane çözüm sunmatadır. Önerilen sistemde her bir romozom içerisinde bir adet bulanı ural bilgisi yer almatadır. Poulasyonda her romozomda başlangıç çözümleri yer almatadır. Her adımda oulasyon yeniden f : c ci : c ci w ( x ) w ( x ) fonsiyonu verilen uralın negatif alı bölümünü sonuç olara döndürmetedir. 0, f f f1 *(1 f / ), f Geneti algoritmada ullanılaca olan uygunlu(fitness) fonsiyonu öncei ii fonsiyon ullanılara tanımlanmıştır. E( R ) t : c ci w ( x w ( x değerini döndürmetedir. ) ) Bir uralın hata oranı 17

w ( t), ci c w ( t 1) w ( t) *, ci c nesnesinin veri ümesi içerisinde ağırlığı hesalanır. Birço hiotezle sınıflandırması sonucu obje belli bir ağırlığa sahi olacatır. Buna göre sınıflandırılamayan nesnelerin ağırlığı sonrai yinelemelerde güçlendirilmiş sınıflandırma oluşturma için arttırılaca; doğru sınıflandırma yaılan objelerin ağırlığı da azalacatır. Önerilen sistemde il adımda bulanı birliteli uralları elde edilmetedir. Hesalamanın armaşılığı nedeniyle uraldai eleman sayısının en fazla üç olara belirlenmiştir. Her bir sınıf için birliteli uralları elde edilmiştir. Kurallar deste ile güvenirli çarımı sonucuna göre sıralanmıştır. Elde edilen urallar her bir sınıf etieti için geneti algoritmanın il oulasyonuna rastgele birleşi olara arıştırılara yerleştirilir. Her adımda yeniden birleştirme ile çaraz değiştirme ve mutasyon işlemlerinden geçirilir. Geneti algoritmada en iyileme sonucunda en son oulasyonda en iyi sonucu döndüren ural bulanı ural veri tabanına atarılır. Atarılan ural geneti algoritma en iyilemesi sonucunda elde edilen en iyi ural sıfırdan yüse uygunlu fonsiyonu içerdiği müddetçe bulanı ural ümesine abul edilir. Kural veri tabanına atarılaca olan her ural için geneti algoritma en iyileme yaar. En iyileme esnasında oulasyon içerisinde romozomlar jenerasyonlar boyunca yeniden birleşme adımlarından geçerler. Poulasyon içerisinde belirlenen romozomlardan elite tanesi sonrai adımdai uşa oulasyon içine atılır. Eniyileme ile uygunlu fonsiyonu en iyi olan ural seçilir. Onun hata oranı hesalandıtan sonra verilerin ağırlığı yen 3. DENEYLER Deneyler Intel Xeon 1.40 GHz CPU, 51 MB RAM Windows XP Dell PC bilgisayarda gerçeleşmiştir. Oracle database 8i Personal Server Edition ullanılmıştır. KDD Cu 99 verisi ullanılmıştır. Birliteli uralı için A-riori algoritması ullanılmıştır [1] Geneti algoritma için GAlib, C++ ütühanesi ullanılmıştır [8]. Sistem 5 defa çalıştırılmıştır. Her çalıştırmada % örneleme ile birliteli uralları çıartılmıştır. KDD Cu verisi ağ trafi davranışlarını içerir. Her objede 4 özniteli vardır[18]. Eğitim verisinde 494014 obje vardır. Test verisinde 31109 obje bulunmatadır. Sınıf etietleme bilgileri aw odu ile elde edilmiştir [19]. Tablo 1 Eğitim Verisi Sınıf Sınıf Obje % Adı Sayısı 0 Normal 9771 19,6 1 Probe 4107 0,83 DOS 391458 79,1 3 UR 59 0,01 4 RL 1119 0, Tablo Test Verisi Sınıf Sınıf Obje % Adı Sayısı 0 Normal 60593 19,4 1 Probe 4166 1,33 DOS 31455 74,4 3 UR 88 0,08 4 RL 1477 4,73 Tablo 3 Sınıflandırma Doğrulu Sonucu No Sınıf Doğrulu Adı 0 Normal 95.80 1 Probe 54.10 DOS 97.40 3 UR 10.9 4 RL 6.9 Tablo 3 te sınıflandırma sonucunu her bir etiet bazında doğrulu sonucu verilmiştir. 4. SONUÇLAR Güçlendirilmiş sınıflandırıcı uygulaması gerçeleştirilmiştir. Bu sistem geneti algoritma ve bulanı mantı ile birliteli urallarını ullanara ural tabanı oluşturmayı hedeflemiştir. Oluşturulan ural tabanı ile ağ saldırılarını sınıflandırma amacı güdülmüştür. KAYNAKLAR [1] Agrawal R. and Sriant R., Fast Algorithms for Mining Association Rules, Proc. of the International Conference on Very Large Dataases, 1994. [] Balasubramaniyan J., et al, An Architecture for Intrusion Detection using Autonomous Agents, Proc. of the Annual Comuter Security Alications Conference,. 13-4, 1998. 10 [3] Bridges S. and Vaughn R. B., Fuzzy Data Mining and Genetic Algorithms Alied to Intrusion Detection, National Information Systems Security Conference, 000 [4] Crosbie M., Alying Genetic Programming to Intrusion Detection, Proc. of AAAI Fall Symosium Series, 1995. 18

[5] Cordon O., et al, Genetic Fuzzy Systems: Evolutionary Tuning and Learning of Fuzzy Knowledge Bases, Advances in Fuzzy Systems, World Scientific, Singaore, 001. [6] Denning D. E., An Intrusion Detection Model, IEEE Transactions on Software Engineering, Vol.13,.-3, 1987. [7] Fox K. L., et al, A Neural Networ Aroach towards Intrusion Detection, Proc. of the National Security Conference,.15-134, Washington DC, 1990. [8] Wall M., GAlib A C++ Library of Genetic Algorithm Comonents htt://lancet.mit.edu/ga/ [9] Gomez J. and Dasguta D., Evolving Fuzzy Classifiers for Intrusion Detection, Proc. of IEEE Worsho on Information Assurance, United States Military Academy, NY, June 001. [10] Hofmeyr S. A., An Immunological Model of Distributed Detection and its Alication to Networ Security, PhD. Thesis, University of New Mexico, 1999. [11] Hoffmann, F., Boosting a Genetic Fuzzy Classifier, Proc. of IFSA/NAFIPS joint conference, Vancouver, 001. [1] Hofmeyr S. A., Forrest S. and Somayaji A., Intrusion Detection Using Sequences of System Calls, Journal of Comuter Security, 6:151-180, 1998. [13] Hong T. P., Kuo C. S and Chi S. C, Trade-off between Comutation Time and Number of Rules For Fuzzy Mining From Quantitative Data, International Journal of Uncertainty, Fuzziness and Knowledge-Based Systems 9..587-604, 001. [14] Heady R., et al, The Architecture of Networ Level Intrusion Detection System, Technical Reort Deartment of Comuter Science, University of New Mexico, 1990. [15] Ishibuchi H., Yamamato T. and Natashima T., Fuzzy Data Mining: Effect of Fuzzy Discretization, Proc. of IEEE International Conference on Data Mining,.41-48, 001. [16] Ishibuchi H. and Yamamoto T., Fuzzy rule selection by data mining criteria and genetic algorithms, Proc. of Genetic and Evolutionary Comutation Conference,.399-406, NY, 00. [17] Jang J. S. R. and Sun C. T., Neuro-Fuzzy Modeling and Control, IEE Proceedings, vol. 83,.378-406, Mar. 1995. [18] KDD Cu 199 Data (htt://dd.ics.uci.edu/databases/ddcu99/ddcu9 9.html) [19] Elan C.: Results of the KDD 99 Learning Classifier Contest. (htt://www-cse.ucsd.edu/users/elan/clresults.html) [0] Lunt T., Detecting intruders in comuter systems, Proc. of Auditing and Comuter Technology Conference, 1999. (htt://www.csl.sri.com/nides/index5.html) [1] Lee W., et al, Mining Audit Data to Build Intrusion Detection Models, Proc. of ACM SIGKDD International Conference on Knowledge Discovery & Data Mining,.66-7, 1998. [] Portnoy L., Esin E. and Stolfo S., Intrusion Detection with Unlabeled Data Using Clustering, Proc. of ACM Worsho on Data Mining Alied to Security, 001. [3] Ryan J., Lin M. and Miiulainen R., Intrusion Detection with Neural Networs, Advances in Neural Information Processing Systems 10, Cambridge MA, MIT Press (1998). [4] Reyes P. and Sier M., A fuzzy Genetic Aroach to Breast Cancer Diagnosis, Artificial Intelligence in Medicine, Vol.1, No., 1999. [5] Syswerda G., Uniform Crossover in Genetic Algorithms, Proc. of the International Conference on Genetic Algorithms, Schaffer, J. (Ed.), Los Altos, CA,.-9, 1989. [6] Sequeira K. and Zai M. J., ADMIT: Anomaly-base Data Mining for Intrusions, Proc. of ACM SIGKDD International Conference on Knowledge Discovery and Data Mining, 00. [7] Allen, J., et al, State of the Practice of Intrusion Detection Technologies, CMU/SEI-99-TR-08 (htt://www.sei.cmu.edu/ub/documents/99.reorts/ df/99tr08.df)., 1999. [8] Gómez J., et al, Comlete Exression Trees for Evolving Fuzzy Classifiers Systems with Genetic Algorithms and Alication to Networ intrusion Detection, Proc. of NAFIPS-FLINT joint conference,.469-474, New Orleans, LA, 00. [9] Goldberg D., Genetic Algorithms in Search, Otimization and Machine Learning, Addison- Wesley, 1989. 19