Koneoppimisen hyödyntäminen tietoverkkoliikenteen poikkeamien havainnointiin

Abstract

Nykyään koneoppimisen vaatimuksia on yhä helpompi täyttää kohteesta riippumatta alati kasvavan prosessointitehon ja kasvavien datamäärien ansiosta. Myös liiketoiminnan ja yhteiskunnallisesti tärkeiden toimintojen siirtyminen elektronisiin järjestelmiin vaatii yhä kattavampaa tietoverkkoliikenteen valvontaa muiden tietoturvaratkaisujen ohella.

Opinnäytetyön tavoitteena oli tutkia, miten koneoppimista voidaan hyödyntää tietoverkkoliikenteen poikkeamien havainnointiin, kuten mahdollisen haitallisen liikenteen tunnistamiseen. Tähän pohjautuen, opinnäytetyössä toteutettiin kolme esimerkkiä yksinkertaisesta koneoppimismallista, jotka tunnistaisivat normaalista liikenteestä poikkeavat tapaukset.

Työssä tarkasteltiin tietoturvaa tietoverkkoliikenteen näkökulmasta, perehdyttiin koneoppimiseen ja selvitettiin sen hyödyntämistä poikkeamien tunnistamisessa. Opinnäytetyön kannalta sopivin luokittelumalli kykeni tunnistamaan poikkeavaa liikennettä eri algoritmeilla toteutettuna, mutta ilman jatkokehitystä se ei saavuta tarpeeksi korkeaa luotettavuutta ollakseen yksinään hyödyllinen.

Toteutettuja luokittelumallin algoritmeja arvioitiin yleisesti koneoppimisessa käytettyjen mittareiden eli tarkkuuden (accuracy), sisäisen tarkkuuden (precision), herkkyyden (recall) ja F1-arvon avulla. Sekaannusmatriisin (confusion matrix) avulla havainnollistettiin luokittelumallin suoriutumista visuaalisesti. Lopussa todettiin, että malli tulisi kouluttaa alusta alkaen tiettyyn ympäristöön sopivaksi, jolloin se sopisi paremmin erilaisten ympäristöjen tarkkoihin vaatimuksiin. Mallia voisi kouluttaa esimerkiksi yrityksen omasta verkosta kerätyllä datalla. Opinnäytetyössä pohditaan myös mahdollisuuksia toteuttaa koneoppimismalli osaksi jo olemassa olevia tietoverkkoliikenteen loki- ja valvontajärjestelmiä.

Increasing computing power and data masses make it easier and more attractive to utilize machine learning when looking for solutions to various problems. Many businesses and organizations have extended or fully moved their services online. Therefore, monitoring network traffic effectively is becoming more vital, in addition to other security measures.

The purpose of this thesis was to investigate how machine learning can be utilized in detecting malicious and unwanted network traffic to enhance a network’s security posture. Based on this, a comparative approach of three different machine learning models was implemented to see how well network anomalies could be detected given the resources available.

The thesis covers the basics of networks, information and network security, as well as different approaches of machine learning and how to validate and evaluate the machine learning models. In the practical section, the classification models were trained on various classification training algorithms, and the results were compared using common evaluation metrics. The algorithms showed promising results with this dataset, but real-world performance is likely lower. Next steps could be implementing a refined model as part of an existing system or utilizing unsupervised or deep learning instead.