2

Tenho um arquivo dump (formato CAP) de uma captura de tráfego de rede feita com o tcp dump do Ubuntu. Até certo horário, é um tráfego livre de ataques. Depois, começam uma série de ataques do tipo TCP SYN flooding. Meu objetivo é calcular a entropia de cada um dos momentos do tráfego (com e sem ataques) e compará-los.

Algúem conhece alguma biblioteca Python que calcule a entropia de shannon de um tráfego de rede?

Encontrei o seguinte código, o que acham?

import numpy as np
import collections

sample_ips = [
    "131.084.001.031",
    "131.084.001.031",
    "131.284.001.031",
    "131.284.001.031",
    "131.284.001.000",
]

C = collections.Counter(sample_ips)
counts = np.array(list(C.values()),dtype=float)
#counts  = np.array(C.values(),dtype=float)
prob    = counts/counts.sum()
shannon_entropy = (-prob*np.log2(prob)).sum()
print (shannon_entropy)

Imagine que eu tivesse esses IPs apenas num tráfego coletado num certo horario.

Eu pegaria vários tráfegos em diferentes dias para ver como a entropia se comporta, tendo assim, diferentes vários de entropia. Qual seria a melhor maneira de plotar um gráfico usando Python para verificar o comportamento da entropia?

3
  • Porque não percorres esse ficheiro (já que já o tens) com python e processas o que tens de calcular a partir daí?
    – Miguel
    Commented 1/03/2017 às 14:20
  • @Miguel, meu problema é nao ter ideia de como implementar o calculo da entropia de shannon. Será que não existe algo pronto em Python?
    – Ed S
    Commented 1/03/2017 às 14:31
  • 1
    vê isto pythonfiddle.com/shannon-entropy-calculation
    – Miguel
    Commented 1/03/2017 às 17:51

1 Resposta 1

3

Humm não conheço nenhuma lib para o que você precisa, eu utilizo cálculos de entropia para Áudio, para ajudar definir o quão diferente(randômico, desorganizado) um frame de áudio no espectro é, faz sentido o que você quer fazer, dependendo do calculo de entropia retornado você poderá definir se um ataque existe sim, quanto mais organizado, menos randômico o tráfego do TCP-DUMP for, maiores serão as chances de um ataque ter ocorrido. O código mostrado parece estar correto com a equação que utilizo para entropia:

inserir a descrição da imagem aqui

Onde Ti são os dados do seu TCP-DUMP, no seu caso você parece estar pegando somente a ocorrência dos IP's em um determinado intervalo de tempo, antes de calcular a entropia é preciso normalizar os dados de entrada, mais uma vez parece que esse passo está OK, seus dados foram normalizados na seguinte linha prob = counts/counts.sum()

Sobre o Plot a maneira mais óbvia é armazenar cada entropia e seu determinado dia de coleta para depois fazer um simples plot usando matplotlib.pyplot, seria algo como plot(dia,entropia), talvez por observações você consiga definir um threshold para depois classificar automaticamente quais dias tiveram ataque, lembre-se quanto maior for o valor da entropia maiores são as chances de um ataque ter acontecido (geralmente quanto mais próximo de 1, menos randômico seus valores são), talvez seja interessante mais pra frente ao invés de analisar por dia fazer uma análise de hora em hora :-)

6
  • poderia entao calcular a entropia do trafego sem ataques a cada 5 min e fazer um grafico. Idem para os ataques e comparar. O que acha? Obrigado pela resposta, @ederwander
    – Ed S
    Commented 2/03/2017 às 1:11
  • claro que sim fica a seu critério, você só precisa ter uma janela com tempo suficiente para ter os dados de entrada, dependendo do volume de tráfego ocorrendo 5 minutos é suficiente, apos as observações vc poderia criar um sistema para alertar o admin de rede em tempo hábil, assim ele poderia tomar uma ação contra o ataque ...
    – ederwander
    Commented 2/03/2017 às 1:18
  • seriam gráficos da entropia x tempo, certo?
    – Ed S
    Commented 5/03/2017 às 15:21
  • sim, gráficos de entropia por cada intervalo de tempo calculado ...
    – ederwander
    Commented 5/03/2017 às 15:27
  • muito obrigado mais uma vez!
    – Ed S
    Commented 5/03/2017 às 15:31

Você deve fazer log-in para responder a esta pergunta.

Esta não é a resposta que você está procurando? Pesquise outras perguntas com a tag .