Πλοήγηση ανά Επιβλέποντα "Gkritzalis, Dimitrios"

A B C D E F G H I J K L M N O P Q R S T U V W X Y Z

Α Β Γ Δ Ε Ζ Η Θ Ι Κ Λ Μ Ν Ξ Ο Π Ρ Σ Τ Υ Φ Χ Ψ Ω

Τώρα δείχνει 1 - 1 από 1

Process-aware insider threat detection using Windows event logs
(2025-06-23) Μανδηλαράς, Αλέξανδρος; Mandilaras, Alexandros; Douskas, Theodoros; Stergiopoulos, George; Gkritzalis, Dimitrios
Η παρούσα διπλωματική προτείνει μια process-aware μεθοδολογία για την ανίχνευση ύποπτης δραστηριότητας σε εταιρικά συστήματα μέσω ανάλυσης αρχείων καταγραφής συμβάντων (event logs) των Windows. Στόχος είναι ο εντοπισμός εσωτερικών απειλών, μοντελοποιώντας και αναλύοντας τη συμπεριφορά των χρηστών χρησιμοποιόντας τεχνικές process mining. Για τον σκοπό αυτό, τα αρχεία καταγραφής των Windows συλλέγονται από όλους τους χρήστες και Windows συστήματα ενος οργανισμού και μετατρέπονται σε μορφή συμβατή για τις τεχνικές process mining που θα πραγματοποιηθούν. Τα μοντέλα διαδικασιών (process models) παράγονται με εργαλεία όπως το ProM ή με την προγραμματιστική γλώσσα Python και τις αντίστοιχες βοηθητικές βιβλιοθήκες που αφορούν το process mining (PM4PY). Τα μοντέλα αυτά βοηθούν στην οπτικοποίηση και ανάλυση της συχνότητας, του χρόνου και της ακολουθίας συμβάντων που σχετίζονται με συγκεκριμένους χρήστες ή συστήματα. Λιγότερο συχνές διαδικασίες επισημαίνονται για περαιτέρω ανάλυση, βάσει της υπόθεσης ότι οι κακόβουλες ή μη εξουσιοδοτημένες ενέργειες εμφανίζονται σπανιότερα από ενέργειες ρουτίνας που εκτελούνται καθημερινά σε έναν οργανισμό. Οι χρονικές στιγμές (timestamps) θεωρούνται χρήσιμες μόνο όταν αποκαλύπτουν ενέργειες εκτός εργασιακού ωραρίου, οι οποίες αντιμετωπίζονται ως δυνητικά ύποπτες. Επαναλαμβανόμενες δραστηριότητες όπως η εκτέλεση μιας ενέργειας πολλαπλές φορές σε ένα συγκεκριμένο χρονικό διάστημα (L1 loops), βοηθούν στον εντοπισμό επιθέσεων brute-force ή γενικότερα αυτοματοποιημένων επιθέσεων. Απομονωμένες ακολουθίες συμβάντων χωρίς λογική σύνδεση με άλλα συμβάντα μπορεί επίσης να υποδεικνύει προσπάθειες μη εξουσιοδοτημένης πρόσβασης ή κακή χρήση του συστήματος. Τα αποτελέσματα δείχνουν ότι η μέθοδος μπορεί να αναδείξει αποτελεσματικά ανωμαλίες που συνδέονται με μια ύποπτη δραστηριότητα. Με την συλλογή των συμβάντων σε ένα κεντρικό σημείο και την αυτοματοποιημένη επεξεργασία τους, η προσέγγιση αυτή προσφέρει μια πρακτική πορεία προς την παρακολούθηση ύποπτων δραστηριοτήτων και απειλών μέσα σε ένα εταιρικό περιβάλλον σε πραγματικό χρόνο. Μετέπειτα έρευνες, πέρα από το scope της παρούσας εργασίας, μπορούν στη συνέχεια να ξεκινούν κατά περίπτωση.