Analisis Perilaku Entitas untuk Pendeteksian Serangan Internal Menggunakan Kombinasi Model Prediksi Memori dan Metode PCA

Abstrak

Tingkat ketahanan siber di Indonesia terhitung rendah dibanding dengan negara lain di dunia, terbukti dengan masih banyaknya kejahatan siber yang terjadi, seperti pencurian data dan identitas, penipuan dan peretasan situs-situs institusi pemerintah maupun swasta yang melibatkan peran  internal secara penuh maupun sebagian. Menangkis serangan dari luar jaringan institusi/organisasi relatif lebih mudah dilakukan dibandingkan dengan menangkis serangan kejahatan siber dari dalam jaringan. Serangan dari luar dapat dicegah menggunakan firewall, anti virus dan perangkat lunak khusus untuk pendeteksi penyusupan/malware. Penelitian ini bertujuan untuk membangun suatu model analisis perilaku entitas berazaskan Model Prediksi Memori (MPM) yang dikombinasikan dengan metode seleksi fitur principal component analysis (PCA) yang diimplementasikan untuk mendeteksi serangan/anomali siber yang melibatkan internal. Model prediksi memori yang terdiri dari 6 lapisan hirarki, mengenali masukan dari lapisan hirarki rendah ke lapisan hirarki tinggi kemudian dilakukan proses pencocokan dan menciptakan serangkaian ekspektasi dari lapisan hirarki tinggi ke rendah.. Setiap tingkat hierarki mengingat urutan pola masukan temporal yang sering diamati dan menghasilkan label atau 'nama' untuk urutan ini. Algoritma PCA diterapkan untuk mengurangi jumlah fitur trafik sehingga mempercepat proses deteksi, Data untuk percobaan diambil dari jaringan nyata dengan 150 pengguna dan data serangan flooding dari dataset MACCDC. Hasil eksperimen dalam suatu jaringan testbed menunjukkan hasil akurasi pendeteksian mencapai 94.01%, presisi 95.64%, Sensitivitas 99.28% dan F1-Score 96.08%. Model yang diusulkan (PCA-MPM) menunjukkan kemampuan menjalankan pembelajaran secara on-the-fly yang sangat diperlukan untuk mengenali perubahan fitur pada pola serangan yang sifatnya berevolusi dari waktu ke waktu. Pada gilirannya model ini dapat mendukung sistem pertahanan siber holistik yang sedang dikembangkan. Sistem yang sedang dikembangkan diharapkan dapat memenuhi kebutuhan dalam negeri akan teknologi siber untuk mengurangi ketergantungan dari negara lain karena dikembangkan secara lokal.

Abstract

Compared to other countries in the world, the level of cyber resilience in Indonesia is low as evidenced by the number of cybercrimes that occur, such as data and identity theft, fraud, and hacking of websites of government and private institutions that involve full or partial insider roles. Fending off attacks from outside the institutional or organizational network is relatively easier than fending off cybercrime attacks from within the network. External attacks can be prevented using firewalls, anti-virus software, and special software for intruder and malware detection. This study intention is to build a model for analyzing entity behavior using a memory prediction model and uses the principal component analysis (PCA) as a feature selection method and implement it to detect cyber-attacks and anomalies involving insiders. The memory-prediction model recognizes bottom-up inputs that matched in hierarchy and evokes a series of top-down expectations. Each hierarchy level remembers frequently observed temporal sequences of input patterns and generates labels or 'names' for these sequences. To accelerate the detection process, the PCA algorithm is deployed to reduce the number of significant features of the traffic. Data for the experiment was taken from a real network with 150 users accessing the network. The experimental results in a testbed network show that the detection accuracy reaches 94.01%, the precision is 95.64%, the sensitivity is 99.28%, and the F1-score is 96.08%. The proposed model (PCA-MPM) is also capable of performing on-the-fly learning where this capability is needed to recognize feature changes in attacks that evolve over time. In turn, this model can support a holistic cyber defense system that is being developed. The system being developed is expected to meet the domestic need for cyber technology and reduce dependence on other countries as it is developed locally.