Implementation of a Forensic Analysis System for Malicious Network Traffic

Abstract

The objective of this thesis was to develop and evaluate a forensic system for detecting malicious network traffic, focusing on its practical implementation and effectiveness as a low-cost security solution. To support this goal, only open and freely available tools were used.

The main solution used in the thesis project was the creation of machine learning models to detect malicious network traffic. These models were created from K-nearest Neighbors, Logistic Regression, Random Forest, and Multi-Layer Perceptron algorithms. The dataset used in the training of the models was the CICIDS2017 dataset. As a final evaluation step, traffic captured in a virtual LAN was used the assess the models.

The performance and predictions of the models indicated that they could be used effectively in a network forensic system for identifying cyberattacks. The thesis showed that such an implemented system was profoundly reliant on the availability of open datasets, hence the cost in terms of effort seems to be justified if quality and open datasets are available and used.

Insinöörityön päätavoitteena oli koneoppimismallien luominen pahantahtoisen verkkoliikenteen havaitsemiseksi. Nämä mallit luotiin käyttäen ‘K-nearest Neighbors’-, ‘Logistic Regression’-, ‘Random Forest’-, ja ‘Multi-Layer Perceptron’ -algoritmeja. Mallien koulutuksessa käytetty datasetti oli CICIDS2017-datasetti. Lopullisessa arviointivaiheessa virtuaalisessa lähiverkossa kaapattua liikennettä käytettiin mallien arvioimiseen.

Mallien suorituskyky ja ennusteet viittasivat siihen, että niitä voitaisiin käyttää tehokkaasti verkkorikostekniikassa kyberhyökkäysten tunnistamiseksi. Insinöörityö osoitti, että tällainen toteutettu järjestelmä oli erittäin riippuvainen avoimien datasettien saatavuudesta, joten vaiva näyttää olevan perusteltua, jos laadukkaita avoimia datasetteja on saatavilla ja käytössä.