Measurements and Characterization of Traffic in the Tunisian National University Network

Mesures et Caractérisation du Trafic dans le Réseau National Universitaire (RNU)

Khadija Ramah Houerbi (1)

1 CRISTAL - Centre de Recherche Réseau Image SysTème Architecture et MuLtimédia

This thesis focuses on measurement and characterization of traffic in Tunisian National University Network (RNU) with applications to traffic anomaly detection. For this, a passive measurement platform was deployed on RNU network and several traffic traces were collected, then they were analysed to expose traffic properties and compared to state of the art results. Thereafter, two anomaly detection approaches based on nonparametric algorithms and easy-to-collect data are proposed. The first one marks as anomaly each eccentric points in traffic volume time series using principal component analysis and Mahalanobis distance. The second tracks changes affecting scanning traffic distributions over the space spanned by IP addresses and TCP port numbers. Its evaluation against reel traffic traces and artificially modified ones showed that the Kullback-Leibler divergence of the joint distribution exposes both the presence of horizontal scans and vertical ones.

Cette thèse porte sur la mesure et la caractérisation du trafic dans le Réseau National Universitaire (RNU) avec des applications à la détection des anomalies. Pour ce faire, une sonde de mesures passives a été déployée sur le réseau RNU. Plusieurs traces de trafic ont été collectées puis analysées, relevant ainsi les caractéristiques du trafic RNU en les comparant avec l'état de l'art. Par la suite, deux approches de détection d'anomalies basées sur des algorithmes non paramétriques et utilisant des données faciles à collecter sont proposées. La première considère comme anomalie, tout point excentrique dans les séries temporelles de métriques de volume et utilise l'analyse en composantes principales et la distance de Mahalanobis. La seconde traque les variations affectant les distributions du trafic de scan dans l'espace des adresses IP et des numéros de ports visités. Son évaluation face à des traces de trafic réelles et des traces artificiellement modifiées a montré que la divergence de Kullback-Leibler de la distribution conjointe permet d'exposer la présence de tous les scans aussi bien horizontaux que verticaux.

Mots clés: Metrology; Anomaly detection; Volume anomaly; Port scanning; Deny of service attack; Tunisian National University Network

Mots clés: Métrologie; Détection d'anomalies; Anomalie de volume; Balayage de ports; Déni de service; Réseau National Universitaire

Domaines: Réseaux et télécommunications [cs.NI]; Cryptographie et sécurité [cs.CR]

Khadija Ramah Houerbi. Mesures et Caractérisation du Trafic dans le Réseau National Universitaire (RNU). Réseaux et télécommunications [cs.NI]. Ecole nationale des sciences de l'informatique, université de manouba, Tunis; Ecole Nationale des Sciences de l'Informatique, 2009. Français. ⟨NNT : ⟩. ⟨tel-00656376⟩