Αντιμετώπιση Δικτυακών Επιθέσεων με Χρήση eXpress Data Path (XDP)

Abstract

Το Σύστημα Ονοματοδοσίας Τομέων (DNS) είναι απαραίτητο για την εύρυθμη λειτουργία του διαδικτύου, καθώς μέσω αυτού πραγματοποιείται η αντιστοίχιση των ονομάτων υπολογιστών σε διευθύνσεις IP και αντίστροφα. Αυτό το κάνει στόχο κακόβουλων χρηστών, οι οποίοι μέσω Κατανεμημένων Επιθέσεων Άρνησης Παροχής Υπηρεσιών (Distributed Denial of Service Attacks, DDoS Attacks) αποσκοπούν στην διατάραξη της λειτουργίας του.

Μία τέτοια επίθεση είναι η λεγόμενη DNS Water Torture. Στόχος της είναι ο υπεύθυνος εξυπηρετητής (Authoritative Server) μίας ζώνης DNS και σκοπός της επίθεσης είναι να πλημμυρίζει το θύμα με πολύ μεγάλο όγκο άκυρων ερωτημάτων, τα οποία προέρχονται από αναδρομικούς εξυπηρετητές (Recursive Resolvers), έτσι ώστε να εξαντληθεί η υπολογιστική ισχύς του εξυπηρετητή και να καταστεί ανίκανος να απαντά σε έγκυρα ερωτήματα καλόβουλων χρηστών. Τα ερωτήματα αυτά, περιέχουν τυχαία, μη επαναλαμβανόμενα ονόματα έτσι ώστε να παρακάμπτουν την προσωρινή μνήμη των αναδρομικών εξυπηρετητών και να φτάνουν πάντα στο θύμα.

Ο μηχανισμός που αναπτύχθηκε στα πλαίσια της παρούσας διπλωματικής εργασίας αποσκοπεί στην αντιμετώπιση αυτής της επίθεσης, συνδυάζοντας τις δυνατότητες προγραμματισμού στο επίπεδο δεδομένων με τεχνικές επιβλεπόμενης μηχανικής μάθησης.

Πιο αναλυτικά, τα ερωτήματα που δέχεται o αναδρομικός εξυπηρετητής, ελέγχονται ως προς την εγκυρότητα του ονόματος DNS που περιέχουν, πριν προωθηθούν στον αντίστοιχο αρμόδιο εξυπηρετητή. Ο έλεγχος αυτός γίνεται με την χρήση του ταξινομητή Naive Bayes, ο οποίος σύμφωνα με την εκπαίδευση που έχει γίνει, κάνει μία πρόβλεψη σχετικά με το εάν το DNS όνομα του ερωτήματος είναι έγκυρο ή όχι. Ο Naive Bayes ενδείκνυται για εφαρμογές επεξεργασίας φυσικής γλώσσας και αυτό τον καθιστά καλή επιλογή για την αντιμετώπιση της επίθεσης DNS Water Torture. Ο ταξινομητής έχει υλοποιηθεί με τη χρήση extended Berkeley Packet Filter (eBPF) και το πρόγραμμα έχει προσαρτηθεί στο eXpress Data Path (XDP) hook. Το XDP hook βρίσκεται στο χαμηλότερο επίπεδο της στοίβας δικτύου του Linux και η επεξεργασία των πακέτων στο σημείο αυτό είναι πολύ πιο αποτελεσματική και πιο γρήγορη, αφού δεν έχει πραγματοποιηθεί ακόμη κατανομή μνήμης, για το πακέτο, από τον πυρήνα. Ανάλογα με το αποτέλεσμα της πρόβλεψης, το πακέτο συνεχίζει την πορεία του ή απορρίπτεται. Ως αποτέλεσμα, τα ερωτήματα των καλόβουλων χρηστών εξυπηρετούνται κανονικά ενώ το μεγαλύτερο ποσοστό της κακόβουλης κίνησης δεν φτάνει τον Authoritative εξυπηρετητή.

Σκοπός αυτής της εργασίας είναι η μελέτη της απόδοσης αυτού του μηχανισμού και της βελτίωσης χρησιμοποιώντας το XDP.