Ανίχνευση Επιθέσεων DDoS σε Προγραμματιζόμενο Επίπεδο Προώθησης Δεδομένων μέσω της Γλώσσας P4

Abstract

Ο προγραμματισμός των συσκευών στο επίπεδο των δεδομένων (Data Plane Programmability) αποτελεί μια νέα τάση στο πλαίσιο των δικτύων Οριζομένων από Λογισμικό (SDN). Μέσω αυτού ορίζονται οι ενέργειες προώθησης των συσκευών, και προσφέρεται περισσότερη ευελιξία σε ένα μεγάλο εύρος λειτουργιών δικτύου, όπως είναι και η ανίχνευση ανωμαλιών. Κάτι τέτοιο είναι ιδιαίτερα κρίσιμο για την έγκαιρη αντιμετώπιση κατανεμημένων επιθέσεων άρνησης παροχής υπηρεσίας (Distributed Denial of Service Attacks - DDoS). Τέτοιες επιθέσεις εξελίσσονται διαρκώς σε επίπεδα κλίμακας και πολυπλοκότητας, καθιστώντας τες ένα από τα δυσκολότερα προβλήματα του Διαδικτύου. Στο πλαίσιο της παρούσας διπλωματικής εργασίας επιδιώκεται η ανάπτυξη ενός μηχανισμού με στόχο την ανίχνευση πιθανών δικτυακών συμβάντων απευθείας στο επίπεδο δεδομένων μέσω της γλώσσας P4. Πρόκειται για μία γλώσσα ειδικού σκοπού που παρέχει ένα στρώμα αφαίρεσης στον διαχειριστή ώστε να γράφει προγράμματα που περιγράφουν τις λειτουργίες προώθησης, χωρίς να εξαρτάται από την εκάστοτε αρχιτεκτονική κάθε συσκευής. Πιο συγκεκριμένα, ο προτεινόμενος μηχανισμός διενεργεί στατιστικούς υπολογισμούς για την δικτυακή κίνηση απευθείας στην συσκευή και υπό συνθήκες ειδοποιεί συστήματα χωρίς την παρέμβαση κάποιου εξωτερικού επιπέδου ελέγχου. Ειδικότερα, βασίζεται σε τρεις επιμέρους μετρικές, συνήθεις για την ανίχνευση επιθέσεων DDoS. Οι πρώτες δύο εκτιμούν το σύνολο των μοναδικών δικτυακών ροών (srcIP, dstIP, IP Protocol, srcPort, dstPort) συνολικά και ανά δίκτυο αντίστοιχα, με χρήση πιθανοτικών δομών. H τρίτη αναλύει την ασυμμετρία της κίνησης, υπολογίζοντας τον λόγο εισερχόμενης προς εξερχόμενης κίνησης για tcp/udp κάθε υποδικτύου. Κάθε μετρική εφόσον παραβιάσει ένα προκαθορισμένο κατώφλι ενεργοποιεί έναν δείκτη. Σε περίπτωση που ενεργοποιηθούν και οι τρεις, αποστέλλονται κατάλληλες ειδοποιήσεις που αντιστοιχούν στην ανίχνευση επίθεσης. Ο μηχανισμός αυτός θεωρητικά αποτελεί ένα ολοκληρωμένο πρώτο στάδιο ανίχνευσης ανωμαλιών, χωρίς να χρειάζεται κάποιου είδους πρωτόκολλο για την εξαγωγή ροών δεδομένων ή δειγματοληψίας που είναι οι επικρατέστεροι μηχανισμοί συλλογής δεδομένων. Παράλληλα θα μπορούσε να αποτελέσει μέρος ενός συνολικού συστήματος αντιμετώπισης επιθέσεων DDoS.