ES2602802T3

ES2602802T3 - Detección de anomalía de red de inteligencia usando una red neuronal difusa de tipo II

Info

Publication number: ES2602802T3
Application number: ES07843575.7T
Authority: ES
Inventors: Chiang Yeh; Jeremy Touve; R. Leon Sangroniz
Original assignee: Alcatel Lucent SAS
Current assignee: Alcatel Lucent SAS
Priority date: 2006-09-29
Filing date: 2007-09-29
Publication date: 2017-02-22
Anticipated expiration: 2027-09-29
Also published as: KR20090058533A; EP2082555B1; CN101523848A; EP2082555A2; WO2008042824A2; CN101523848B; US20080083029A1; JP2010506460A; JP5405305B2; WO2008042824A3; KR101323074B1

Abstract

Un detector (102) de anomalía que comprende una red neuronal difusa de tipo II que tiene una estructura (112) de control en tres niveles que rastrea síntomas de un ataque y sugiere escalar acciones (110) correctivas hasta que los síntomas del ataque empiezan a desaparecer, en el que la estructura de control incluye: un primer nivel (202) que incluye una pluralidad de funciones de pertenencia, donde cada función de pertenencia está adaptada para: recopilar una estadística (108) de red; y procesar la estadística recopilada en una métrica que es la estadística recopilada divida por un máximo teórico de la estadística recopilada; un segundo nivel (204) que incluye una pluralidad de sumadores, donde cada sumador está adaptado para: recibir un conjunto único de métricas asociadas con las funciones de pertenencia; y calcular una media basándose en el conjunto único de métricas y en una tasa de cambio de cada una de las métricas en el conjunto único; y un tercer nivel (206) que incluye al menos un agregador y al menos una tabla (2081, 208k), donde cada agregador está adaptado para: recibir un conjunto único de las medias calculadas; y sumar el conjunto único de las medias calculadas; y en el que cada tabla se usa para analizar las medias calculadas sumadas para determinar si es necesario un curso de la acción para tratar los síntomas del ataque.

Description

5

10

15

20

25

30

35

40

45

50

55

DESCRIPCION

Deteccion de anoma^a de red de inteligencia usando una red neuronal difusa de tipo II Campo tecnico

La presente invencion se refiere a un detector de anoma^a y a un procedimiento para usar una red neuronal difusa de tipo II para identificar smtomas de un ataque/anomalfa (que se dirige a una red privada) y para sugerir escalar acciones correctivas (que pueden implementarse por un dispositivo de red) hasta que empiecen a desaparecer los smtomas del ataque/anomalfa.

Antecedentes

Los dispositivos de interconexion en red actuales (por ejemplo, conmutador de Ethernet de capa 3) a menudo usan tecnica post mortem o tecnica de medidas preventivas para detectar y corregir anomalfas/ataques de red. En el primer caso, el dispositivo de interconexion en red recopila una cantidad extensiva de estadfsticas de red y a continuacion envfa esta informacion a una instalacion externa para identificar patrones conocidos o firmas de ataques/anomalfas organizados o actividades de red indeseables. Puesto que los requisitos para cotejar, contabilizar y analizar estas estadfsticas de red exigen una cantidad exhaustiva de numero de capacidades de compresion y busqueda, esta instalacion externa identifica la anomalfa/ataque despues de que ya ha danado la red.

En el ultimo caso, el dispositivo de interconexion en red esta programado con un conjunto de mascaras de filtro, arboles de decision, o heunstica complicada que corresponde a patrones conocidos o firmas de ataques/anomalfas organizados o actividades de red indeseables. Estos mecanismos unicamente reconocen los ataques/anomalfas usando reglas permanentes y rapidas que son bastante eficaces en rastreo fijo y patrones organizados de ataques/anomalfas. Una vez identificados, el dispositivo de interconexion en red toma las etapas apropiadas para tratar los smtomas de los ataques/anomalfas ofensores. Esta tecnica particular funciona bien si el ataque/anomalfa tiene un intervalo estricto de comportamientos y deja una firma bien conocida.

Algunos dispositivos de interconexion en red usan una combinacion de la tecnica post mortem y la tecnica de medidas preventivas para detectar y corregir anomalfas/ataques de red. Puesto que los procedimientos de ataque mas daninos y reconocibles, por ejemplo, denegacion de servicio, exploracion de puertos, etc., tienen firmas muy distintas, este tipo de dispositivo de interconexion en red puede identificar satisfactoriamente y corregir muchos de estos ataques/anomalfas. Por ejemplo, un administrador de red puede programar facilmente un conjunto de mascaras de filtro, arboles de decision, o heunstica complicada para detectar y corregir los problemas producidos por un ataque/anomalfa que muestra un intervalo estricto de comportamientos y deja una firma bien conocida. Sin embargo, los tipos mas nuevos de ataques/anomalfas que se usan comunmente hoy en dfa no se comportan de una manera predecible o dejan una firma distinta. Por ejemplo, existe una nueva generacion de gusanos que tienen un intervalo de actividades que no son facilmente identificables cuando migran a traves de una red, puesto que estos gusanos mas nuevos usan algoritmos biologicos que les produce que transmuten sus comportamientos a medida que migran y se reproducen en una red.

Como resultado, estas tecnicas bien conocidas pueden no rendir muy bien puesto que dependen del conocimiento mtimo acerca de la causa del ataque/anomalfa antes de que puedan reconocer el ataque/anomalfa y tomar acciones correctivas para corregir los smtomas del ataque/anomalfa. Ademas, estas tecnicas a menudo necesitan tomar un curso discreto de acciones correctivas independientemente del grado del ataque/anomalfa (a menos que el administrador de red defina espedficamente cada grado del ataque que desea tratar, que, en esencia, presenta cada grado del ataque como una nueva clase de ataque). Por consiguiente, existe una necesidad para una nueva tecnica que pueda detectar un ataque/anomalfa (especialmente uno de los tipos mas nuevos de gusanos transmutables) y sugiera escalar acciones hasta que los smtomas del ataque/anomalfa empiecen a desaparecer. Esta y otras necesidades se tratan por el detector de anomalfa y el procedimiento de deteccion de anomaifa de la presente invencion.

La publicacion de Solicitud de Patente de Estados Unidos N. ° 2004/0250124 A1 desvela un procedimiento para proteger una red de un ataque que incluye medir una propiedad de trafico que entra en la red, y analizar la propiedad usando al menos un algoritmo de logica difusa para detectar el ataque.

Breve descripcion de la invencion

Un detector de anomalfa y un procedimiento se indican en las reivindicaciones independientes 1 y 7, respectivamente. La presente invencion incluye un detector de anomalfa y un procedimiento para usar una red neuronal difusa de tipo II que puede rastrear smtomas de un ataque y sugerir escalar acciones correctivas hasta que los smtomas del ataque empiecen a desaparecer. En una realizacion, el detector de anomalfa usa una red neuronal difusa de tipo II en tres niveles donde el primer nivel tiene multiples funciones de pertenencia |n-|i que recopilan estadfsticas acerca de diferentes aspectos de la “salud” de un dispositivo de red y procesan estos numeros en metricas que tienen valores entre 0 y 1. El segundo nivel tiene multiples sumadores n-i-Qm cada uno de los cuales interconecta con funciones de pertenencia seleccionadas |n-|i para obtener sus metricas y a continuacion emiten una suma continua (probabilfstica, no numerica). El tercer nivel 206 tiene multiples agregadores Z-rZk cada uno de

5

10

15

20

25

30

35

40

45

50

55

los cuales agrega las sumas de los sumadores seleccionados Q1-Qm y calcula una media continua que se compara a reglas de control de logica difusa (localizadas dentro de una tabla si-entonces-sino) para determinar un curso particular de accion que el dispositivo de red puede seguir para tratar los smtomas de un ataque.

Breve descripcion de los dibujos

Un entendimiento mas completo de la presente invencion puede obtenerse por referencia a la siguiente descripcion detallada cuando se toma en conjunto con los dibujos adjuntos en los que:

La Figura 1 es un diagrama de un dispositivo de red que interactua con un detector de anomalfa que funciona

para proteger una red privada de acuerdo con la presente invencion;

La Figura 2 es un diagrama del detector de anomalfa que usa una red neuronal difusa de tipo II en tres niveles

para proteger la red privada de acuerdo con una realizacion de la presente invencion; y

La Figura 3 es un diagrama que ilustra las etapas basicas que pueden realizarse por el detector de anomalfa que

usa la red neuronal difusa de tipo II en tres niveles para proteger la red privada de acuerdo con una realizacion

de la presente invencion.

Descripcion detallada de las figuras

Haciendo referencia a la Figura 1, se muestra un diagrama que se usa para ayudar a explicar como un dispositivo 100 de red puede interconectar con un detector 102 de anomalfa que identifica smtomas de un ataque y sugiere escalar acciones correctivas que el dispositivo 100 de red puede a continuacion seguir para tratar los smtomas del ataque de acuerdo con la presente invencion. En este escenario ejemplar, el dispositivo 100 de red interconectando con el detector 102 de anomalfa (que tambien puede estar localizado en el dispositivo 100 de red) puede proteger una red 104 privada de ataques y posibles amenazas que se originan desde una red 106 publica. Ademas, el dispositivo 100 de red interconectando con el detector 102 de anomalfa puede proteger la red 104 privada de ataques y abusos potenciales de sus propios usuarios. Se proporciona un analisis detallado a continuacion para explicar como el detector 102 de anomalfa recibe estadfsticas 108 de red, procesa estas estadfsticas 108 de red y a continuacion emite la accion o acciones 110 correctivas que pueden implementarse por el dispositivo 100 de red para proteger la red 104 privada.

El detector 102 de anomalfa usa inteligencia artificial para introducir una medida de adaptabilidad en el procedimiento de deteccion de anomalfa que es deseable debido a que la naturaleza de los ataques de red mas nuevos (por ejemplo, gusanos transmutables) a menudo es convoluta, y mas a menudo, desconocida. En una realizacion, el detector 102 de anomalfa posibilita esta medida de adaptabilidad usando una forma de inteligencia artificial denominada en el presente documento como una red 112 neuronal difusa de tipo II (veanse las Figuras 2 y 3). La red 112 neuronal difusa de tipo II puede usar conocimiento parcial tomado a partir de las estadfsticas 108 de red recopiladas para identificar y rastrear los smtomas de un ataque antes de que sugiera escalar acciones 110 correctivas para tratar los smtomas del ataque. Por lo tanto, la red 112 neuronal difusa de tipo II no necesita deducir la causa rafz de un ataque antes de que pueda detectar un ataque y sugerir las acciones 110 correctivas necesarias para tratar los smtomas del ataque.

La red 112 neuronal difusa de tipo II es diferente de una red neuronal tradicional en que sus condiciones para aprender estan basadas en heunstica sencilla en lugar de filtros adaptativos complicados. Esta heunstica sencilla permite errores numericos indefinidos en la adaptacion denominados “difusividad”. Es esta naturaleza “difusa” la que permite al detector 102 de anomalfa rastrear un problema esquivo descubriendo una tendencia general sin necesitar tener la precision de datos que se requieren por una red neuronal tradicional que usa filtros adaptativos complicados. Una realizacion ejemplar de una red 112 neuronal difusa de tipo II que tiene una estructura de control en tres niveles se analiza a continuacion con respecto a las Figuras 2 y 3.

Haciendo referencia a la Figura 2, se muestra un diagrama de una red 112 neuronal difusa de tipo II en tres niveles ejemplar que se usa por el detector 102 de anomalfa para identificar smtomas de un ataque y para sugerir escalar acciones correctivas que pueden implementarse hasta que los smtomas del ataque empiecen a desaparecer de acuerdo con la presente invencion. Como se muestra, el primer nivel 202 tiene multiples funciones de pertenencia in-|ii que recopilan estadfsticas 108 acerca de diferentes aspectos de la “salud” del dispositivo 100 de red y procesan estos numeros en metricas que tienen valores que estan entre 0 y 1. El segundo nivel 204 tiene multiples sumadores ni-Qm cada uno de los cuales interconecta con funciones de pertenencia seleccionadas |n-|i para obtener sus metricas y a continuacion procesa/emite una suma continua (probabilfstica, no numerica). El tercer nivel 206 tiene multiples agregadores Z1-Zk cada uno de los cuales agrega las sumas de los sumadores seleccionados Q1- Qm y calcula una media continua que se compara a reglas de control de logica difusa localizadas dentro de una correspondiente tabla 2081 y 208k si-entonces-sino para determinar un curso de la accion 110 que el dispositivo 100 de red puede a continuacion seguir para tratar los smtomas de un ataque. En particular, el tercer nivel 206 tiene multiples tablas 2081 y 208k si-entonces-sino cada una de las cuales recibe una media continua desde un respectivo agregador ZrZk y basandose en esa entrada realiza un analisis si-entonces-sino y a continuacion emite la accion 110 que el dispositivo 100 de red puede a continuacion implementar para tratar los smtomas de un ataque.

5

10

15

20

25

30

35

40

45

En una aplicacion particular, cada funcion de pertenencia |1-|i recopila las estad^sticas 108 acerca de un aspecto espedfico del dispositivo 100 de red y a continuacion produce una unica metrica para representar la “salud” de ese aspecto particular del dispositivo 100 de red. Esta metrica tiene una puntuacion entre 0 y 1 que significa que la correspondiente funcion de pertenencia puede representarse como | e {0..1}. La puntuacion de metrica es una fraccion de una estadfstica de red que el dispositivo 100 de red esta recopilando actualmente, por ejemplo el numero de paquetes a traves de una interfaz particular, el numero de bits a traves de una interfaz particular, el numero de conexiones de http a traves de una interfaz particular, etc..., frente a un maximo teorico. Por ejemplo: i = caudal del puerto A = (numero de bits transmitidos por el puerto A/segundo)/(velocidad de enlace por segundo del puerto A). Por lo tanto, una puntuacion mas alta de una metrica es mas deseable que una puntuacion mas baja puesto que la primera es indicativa de un estado superior de salud. Como puede apreciarse, no hay lfmite en cuanto a que tipo de aspecto (estadfstica asociada con el dispositivo 100 de red) puede transmitir una funcion de pertenencia en su valor de |. Ademas, cuanto mas precisas define un administrador de red las funciones de pertenencia |1-|i mejor va a comportarse el detector 102 de anomalfa total.

En el segundo nivel 204, las metricas a partir de funciones de pertenencia seleccionadas |1-|i se suman por uno de los sumadores n1-nm para producir una puntuacion total |total. Puesto que ciertas funciones de pertenencia individuales |1-|i pueden influenciar la puntuacion total de diferentes maneras. Los sumadores n1-nm pueden modelar una o mas de las funciones de pertenencia individuales |1-|i con pesos variables “w” por lo que pueden tener un efecto compensatorio deseado en la puntuacion total |total. En un ejemplo, esta puntuacion total |total puede calcularse como sigue (ecuacion n.°1):

Ptotal

= (n tPiw(i> * p'iw(i)) )p

(i - n (d - Pi)

w(i)

p'i)

w(i)

))

donde p = y -1, |i e {0..1}, w(i) = i-esimo peso para i

En el tercer nivel 206, se suman las seleccionadas de las medias geometricas ponderadas (puntuaciones totales Itotal) por uno de los agregadores Z1-Zk y el resultado se compara frente a una correspondiente tabla 2081 y 208k de acciones si-entonces-sino. Como se muestra, cada agregador Z1-Zk tiene unicamente una asociacion de tabla y cada tabla 2081 y 208k puede haberse programado para buscar un ataque/anomalfa espedfico y para tratar los smtomas de ese ataque/anomalfa espedfico. Lo siguiente es una ilustracion de una tabla 2081 y 208k de muestra:

TABLA 1

Si Sum1 > Th1: Y si Summ > Th4 Entonces tomar accion 1 Sino no hacer nada

Si (Sum1 < Th1 & Sum1 > Th2): Y si (Summ < Th4 & Summ > Th5) Entonces tomar accion 2 Sino no hacer nada



: Entonces tomar accion 3 Sino tomar accion 4

Si Sum1 < Th3: Y si (Summ < Th6) Entonces tomar accion 5 Sino tomar accion 6

Nota: la tabla 2081 y 208k puede contener tambien multiples acciones, por ejemplo si (agregador 1 > umbral 1) entonces hacer (accion 1 y accion 2 y accion 3) sino hacer (accion 4 y accion 5).

Las acciones 110 anteriormente ilustradas son las etapas que puede tomar el dispositivo 100 de interconexion en red para protegerse a sf mismo de un ataque/anomalfa. Por ejemplo, el detector 102 de anomalfa puede haber detectado congestion de red potencial en una interfaz particular en el dispositivo 100 de red basandose en el patron de trafico actual, es decir cuando su agregador Z1 para congestion supera un umbral particular. Si esta suma del agregador esta entre un umbral grave y un umbral leve, entonces la accion 110 desencadenada por el agregador Z1 puede ser tener que marcar el dispositivo 100 de interconexion en red todo el trafico posterior con una prioridad de Punto de Codigo de Servicios Diferenciados (DSCP) baja. Si la suma del agregador supera el umbral grave, entonces la accion 110 desencadenada por el agregador Z1 puede ser tener que interrumpir el dispositivo 100 de interconexion en red todo el trafico posterior en la interfaz bajo congestion.

En otro ejemplo, el dispositivo 100 de interconexion en red puede presenciar un numero sospechosamente grande de solicitudes de Protocolo de Transferencia de Hipertexto (HTTP), seguido por un numero grande de abortos de HTTP de un pequeno numero de direcciones de Protocolo de Internet (IP), en un patron predictivo e intervalo fijo. El detector 102 de anomalfa podna rastrear este patron agregando ambas de estas variables y a continuacion tratar este problema emitiendo una accion 110 que puede implementarse por el dispositivo 100 de interconexion en red. En este ejemplo, se supone que el operador de red tiene conocimiento a priori acerca de esta anomalfa particular, por lo tanto puede configurar apropiadamente las funciones de pertenencia |1-|n (y ponderar tambien las funciones de pertenencia |1-|n), los sumadores n1-Qm, los agregadores Z1-Zk y/o las tablas 2081 y 208k si-entonces-sino. Como alternativa, el detector 102 de anomalfa podna usarse tambien para detectar y tratar ataques/anomalfas

5

10

15

20

25

30

35

40

45

50

55

60

inesperados (esta capacidad particular se analiza en mas detalle a continuacion).

Como una realizacion de muestra, se puede implementar la red 112 neuronal difusa de tipo II en tres niveles en una pieza de un equipo 100 de interconexion en red, por ejemplo, un conmutador 100 de Ethernet de capa 3, que ya mantiene un extenso conjunto de estadfsticas. En este caso, las funciones de pertenencia de nivel 1 n-i tomanan periodicamente estas estadfsticas y las convertinan en metricas/fracciones que se alimentan en uno o mas sumadores de nivel 2 n-i-Qm. Por ejemplo, una de las funciones de pertenencia i podna tomar la estadfstica relacionada con el numero de bits que pasa una interfaz por segundo y dividir este numero frente a la velocidad de puerto para producir una metrica/fraccion entre {0..1} que sena indicativa de la utilizacion de enlace. Ademas, para calcular la primera metrica/fraccion (n), la funcion de pertenencia de nivel 1 i calculana tambien el diferencial de tiempo de esa metrica/fraccion (in’). Para conseguir esto, la funcion de pertenencia i podna calcular por ejemplo la pendiente de puntos sucesivos n(t), extraer un valor angular de manera trigonometrica, y dividir el angulo frente a 2n.

Posteriormente, los sumadores de nivel 2 Q1-Qm reciben cada uno un conjunto unico de metricas/fracciones (|1-|i) y sus correspondientes metricas/fracciones diferenciales de tiempo (n’-|i’) y calculan la media geometrica ponderada itotal basandose en la ecuacion n. ° 1 (por ejemplo). Si se desea, los sumadores Q1-Qm pueden ponderar cada uno las metricas/fracciones (|1-|i) con un numero entre 0 y 1. El peso asignado de las metricas/fracciones (|1-|i) indica la importancia relativa de la correspondiente funcion de pertenencia n-m Por ejemplo, si se desea rastrear la congestion de red, entonces se ponderana la utilizacion de enlace con una potencia superior que el numero de conexiones de Protocolo de Control de Transmision (TCP) abiertas. Por supuesto, la red 112 neuronal difusa de tipo II debena converger independientemente de los pesos asignados a las funciones de pertenencia n-m Sin embargo, la red 112 neuronal difusa de tipo II se adaptana mas rapido si las funciones de pertenencia n-|i hubieran elegido apropiadamente pesos en lugar de si las funciones de pertenencia n-|i hubieran elegido pesos malos. Finalmente, los sumadores Q1-Qm alimentan sus salidas itotales en las seleccionadas de los agregadores de nivel 3 Z1-Zk cada uno de los cuales agrega las itotales recibidas y calcula una media continua que se compara a reglas de control de logica difusa (localizadas en la correspondiente tabla 2081 y 208k si-entonces-sino) para determinar un curso de la accion 110 que el dispositivo 100 de red puede implementar para tratar los smtomas de un ataque.

Haciendo referencia a la Figura 3, existe un diagrama que se usa para explicar de una manera diferente como la red 112 neuronal difusa de tipo II en tres niveles ejemplar funciona para ayudar a proteger la red 104 privada de acuerdo con la presente invencion. En la etapa 302, las entidades 202 de primer nivel funcionan para observar el estado de sistema recopilando estadfsticas y procesandolas en valores fraccionales que pueden manipularse usando matematica de logica difusa. En la etapa 304, las entidades 204 de segundo nivel funcionan para vincular diversas estadfsticas para extraer inferencias. En la etapa 306, las entidades 206 de tercer nivel (unicamente se muestra un Z1 y una tabla 2081 si-entonces-sino) funcionan para usar una serie de las sospechas recibidas desde las entidades 204 de segundo nivel seleccionadas para tomar una decision acerca de que accion 110 puede tomar el dispositivo 100 de red para proteger la red 104 privada.

Una ventaja de usar una red 112 neuronal difusa de tipo II es que se puede entrenar la red 112 neuronal difusa de tipo II para aprender acerca de ataques y problemas de red futuros. Por ejemplo, cuando un administrador de red anticipa un brote de nuevos ataques de gusano en la red 106 publica, a continuacion pueden soltar el gusano sospechoso en una red experimental y usar este mecanismo para rastrear el patron del ataque. Posteriormente, el administrador de red puede programar este patron nuevamente aprendido en un detector 102 de anomalfa en directo y entonces la red 104 privada estana inoculada a tales ataques. El operador puede efectuar la inoculacion de dos maneras: (1) puede modificar las tablas 2081-208k de reglas con acciones que pueden suprimir el ataque inminente; y/o (2) puede alterar como evalua el segundo nivel 204 la observacion u observaciones actualizando la funcion o funciones de pertenencia n-|n (por ejemplo, la ponderacion de una observacion) o anadiendo nueva funcion o funciones de pertenencia.

En otro ejemplo, si un administrador de red desea entrenar la red 112 neuronal difusa de tipo II para buscar un nuevo ataque/anomalfa, podna programar una de las tablas 2081 si-entonces-sino para no tomar ninguna accion y a continuacion simplemente observar las salidas del agregador correspondiente Z1. A continuacion, puede disenar un conjunto espedfico de acciones que estan adaptadas para ese nuevo ataque/anomalfa particular. Ademas, si la red 112 neuronal difusa de tipo II se entrena para proteger frente a amenazas espedficas, entonces el procedimiento de entrenamiento en sf mismo junto con las modificaciones de los parametros difusos puede ayudar tambien frente a ataques nunca vistos antes. Estos ataques inesperados unicamente necesitan compartir alguno de los mismos elementos asociados con los ataques conocidos para la red neuronal difusa 112 para decidir que son “malos” y aprobar una respuesta. Estos elementos pueden medirse e identificarse facilmente (por ejemplo pueden ser los paquetes por segundo de un tipo de trafico espedfico) y cuantos mas de ellos esten agregando el mecanismo, mas variados seran los tipos de ataques inesperados que pueden identificarse.

Aunque se ha ilustrado una realizacion de la presente invencion en los dibujos adjuntos y se ha descrito en la anterior descripcion detallada, debena entenderse que la presente invencion no esta limitada a la realizacion desvelada, sino que pueden hacerse numerosas reorganizaciones, modificaciones y sustituciones sin alejarse de la invencion como se expone y define mediante las siguientes reivindicaciones.

Claims

5

10

15

20

25

30

35

40

45

50

REIVINDICACIONES

1. Un detector (102) de anoma^a que comprende una red neuronal difusa de tipo II que tiene una estructura (112) de control en tres niveles que rastrea smtomas de un ataque y sugiere escalar acciones (110) correctivas hasta que los smtomas del ataque empiezan a desaparecer, en el que la estructura de control incluye:

un primer nivel (202) que incluye una pluralidad de funciones de pertenencia, donde cada funcion de pertenencia esta adaptada para:

recopilar una estadfstica (108) de red; y procesar la estadfstica recopilada en una metrica

que es la estadfstica recopilada divida por un maximo teorico de la estadfstica recopilada;

un segundo nivel (204) que incluye una pluralidad de sumadores, donde cada sumador esta adaptado para:

recibir un conjunto unico de metricas asociadas con las funciones de pertenencia; y calcular una media basandose en el conjunto unico

de metricas y en una tasa de cambio de cada una de las metricas en el conjunto unico; y

un tercer nivel (206) que incluye al menos un agregador y al menos una tabla (2081, 208k), donde cada agregador esta adaptado para:

recibir un conjunto unico de las medias calculadas; y sumar el conjunto unico de las medias calculadas; y

en el que cada tabla se usa para analizar las medias calculadas sumadas para determinar si es necesario un curso de la accion para tratar los smtomas del ataque.
2. El detector de anomalfa de la reivindicacion 1, en el que dicha estadfstica de red recopilada incluye:

un numero de paquetes a traves de una interfaz particular en un dispositivo de red;

un numero de bits a traves de una interfaz particular en dicho dispositivo de red; o

un numero de conexiones de HTTP a traves de una interfaz particular en dicho dispositivo de red.
3. El detector de anomalfa de la reivindicacion 1, en el que dicho cada sumador calcula una media que es una media calculada geometrica ponderada.
4. El detector de anomalfa de la reivindicacion 1, en el que dicho ataque es un gusano de transmutacion que implementa una pluralidad de algoritmos biologicos.
5. El detector de anomalfa de la reivindicacion 1, en el que dicho ataque es un ataque inesperado.
6. El detector de anomalfa de la reivindicacion 1, en el que dicho ataque es un ataque esperado.
7. Un procedimiento para tratar un smtoma de un ataque usando una red neuronal difusa de tipo II, comprendiendo dicho procedimiento las etapas de:

recopilar (302) una pluralidad de estadfsticas (108) de red;

procesar (302) cada una de las estadfsticas de red recopiladas en una metrica que es una fraccion de la estadfstica de red recopilada

dividida por un maximo teorico de la estadfstica de red recopilada;

calcular (304) una pluralidad de medias cada una de las cuales esta basada en un conjunto unico de las metricas y una tasa de cambio del conjunto unico de las metricas; agregar (306) un conjunto unico de las medias calculadas; y

comparar (306) las medias calculadas agregadas con los valores en una tabla de reglas de decision si-entonces- sino para determinar una accion para tratar el smtoma del ataque.
8. El procedimiento de la reivindicacion 7, en el que dicha etapa de comparacion incluye adicionalmente revisar la tabla de reglas de decision si-entonces-sino para tratar mejor el smtoma del ataque despues de revisar las estadfsticas de red recopiladas, las medias calculadas y/o las medias calculadas agregadas.
9. El procedimiento de la reivindicacion 7, en el que dichas estadfsticas de red recopiladas incluyen:

un numero de paquetes a traves de una interfaz particular en dicho dispositivo de red;

un numero de bits a traves de una interfaz particular en dicho dispositivo de red; o

un numero de conexiones de HTTP a traves de una interfaz particular en dicho dispositivo de red.
10. El procedimiento de la reivindicacion 7, en el que dicho ataque es un gusano de transmutacion que implementa una pluralidad de algoritmos biologicos.