Detection of Network Traffic Anomalies With Robust Principal Components Analysis

Abstract

Ağ trafiği verilerinde meydana gelen olağan dışı davranışların tespitinde çeşitli disiplinlerde farklı teknikler kullanılarak birçok çalışma yapılmıştır. Bu yöntemlerden biri olan Temel Bileşenler Analizi'nin (TBA) kullanımı geçtiğimiz on yılda yapılan birtakım çalışmaların ışığında oldukça artış göstermiştir. Özellikle TBA kullanımının avantajlı olmadığı durumlarda, Dayanıklı Temel Bileşenler Analizi veya TBA tabanlı hibrit yaklaşımların kullanımı ile sıklıkla karşılaşılmaktadır. Bu tez çalışmasında da ağ trafiği verilerinde aykırı değerlerin, diğer bir deyişle anomalilerin tespitinde dayanıklı bir TBA yöntemi kullanılmıştır. Bu amaçla, bu alanda bilinen bir veri seti olan Abilene ağ trafiği veri setine yapay trafik hacmi eklenerek dayanıklı TBA yönteminin anomali tespit performansı, klasik TBA yöntemi ile karşılaştırılmıştır. Elde edilen sonuçlara göre, anomali tespit performansı açısından dayanıklı TBA yöntemin çok daha iyi bir performans sağladığı görülmüştür.

There are a lot of studies have been carried out by using different techniques in various disciplines to detect unusual behaviors that occur in network traffic data. Principal Component Analysis (PCA), one of these methods, has increased considerably in the light of some studies conducted in the last decade. The cases in which data in higher dimensions or with outliers, where the use of the PCA is not advantageous, use of the robust PCA and PCA-based hybrid approaches is frequently encountered. In this study, a robust PCA method is used to detect outliers, i.e. anomalies, in network traffic data. For this purpose, the anomaly detection performance of the robust PCA method is compared with the classical PCA method by adding synthetic traffic volume to the Abilene network traffic data set, which is a well-known data set in this field. According to the results, it is seen that the robust PCA method is provided a much better performance in terms of anomaly detection performance.