Detección de SQL injection basada en random forest

Abstract

Los ataques de SQL INJECTION ante este tipo de amenazas surgieron diferentes tipos de soluciones, estas soluciones basadas en firewall, antivirus y herramientas exclusivamente para detectar este tipo de amenaza. El aprendizaje automático (Machine learning) en los últimos años también a estado ascenso, por lo cual no es extrañar que también esté presente en el área de la seguridad informática. La presente tesis combina dos áreas importantes en la actualidad la seguridad informática y aprendizaje automático, en esta última área existen diferentes tipos de algoritmos de aprendizaje. Uno de ellos es el algoritmo de clasificación llamado RANDOM FOREST. Este algoritmo se utiliza en nuestro estudio para la detección de SQL INJECTION, para lo cual se ha conseguido un dataset de consultas que están relacionados con este tipo de ataques, los etiquetamos de que esa consulta es mala o es legítima. Aplicando SqlParser, n-gram, luego Gtest, longitud y entropía para tener los datos procesados de forma numérica. Se entrena el Algoritmo Forest para detectar si una consulta es mala o legitima. Los resultados obtenidos después de entrenamiento es de 99.87% de forma general, lo que nos da idea que el algoritmo de Random Forest puede clasificar si una consulta es SQL injection o no es, además se hizo la prueba de Wilcoxon para determinar con cual criterio (gini, entropía) el algoritmo de Random Forest clasificar mejor nuestras consultas, el resultado obtenido es que detecta mejor con el criterio gini