Analysis of available Data Mining Algorithms to detect Advanced Persistent Threats (APT)

Abstract

Ziel dieser Bachlorarbeit ist das Entwickeln einer Methodenkette, welche Funktionen aus dem Bereich des Data Mining beinhaltet, um fortgeschrittene, andauernde Bedrohungen aufzudecken. Sowohl PDNS als auch NetFlow Logdateien werden hierbei mit einer Reihe an Perl Skripten transformiert und vorverarbeitet, um anschließend in einem Data Mining Programm (Weka) mit einem Algorithmus ausgewertet zu werden. Die Angriffs Detektion wird mithilfe eines Ampel-Konzeptes realisiert, welches IP Adressen nach ihrem Grad des Angriffsverhalten klassiffziert und in Listen speichert.

The objective of this thesis is to determine a chain of different methods from the field of data mining, for the detection of advanced persistent threats. For this, both PDNS and NetFlow data log files are examined with multiple Perl scripts for preprocessing and data transformation purposes, as well as inserted into a data mining tool (Weka) to apply algorithms for knowledge discovery. To aid the detection of attacks, a traffc light concept for suspicious communication behaviour is being presented, which yields the automated developing of several lists containing IP addresses with varying levels of suspiciousness.