Detection of sources of network attacks based on the data sampling

В статье определены правила нахождения пороговых значений для основных сетевых переменных, используемых для обнаружения сетевых вторжений в условиях ограниченной выборки данных. Технология sFlow оперирует с ограниченной выборкой пакетов, причем анализироваться может один пакет из 50, но это значение может доходить и до 5000. Наш основной вывод состоит в том, что произведение порогового значения и разрешения выборки остается постоянной величиной. В работе определен размер максимального разрешения, при котором атака с заданным порогом может быть обнаружена. На основании собранных во время эксперимента данных было проведено тестирование данной гипотезы. С учетом ошибки эксперимента эта гипотеза подтверждается.