Σύνθετη Ανίχνευση Ανωμαλιών Για Διαχείριση Ασφάλειας Στο Διαδίκτυο

Abstract

Το θέμα της παρούσας διατριβής είναι η ανίχνευση ανωμαλιών στη δικτυακή κίνηση και ειδικότερα η ανίχνευση ``κατανεμημένων επιθέσεων άρνησης υπηρεσιών'' (Distributed Denial of Service attacks -DDoS), ενός από τα μεγαλύτερα προβλήματα που αντιμετωπίζει σήμερα το Διαδίκτυο, ως μέσο για την ενίσχυση της ασφάλειας δικτύων. Στόχος είναι η ανάπτυξη μιας αρχιτεκτονικής για συστήματα ανίχνευσης ανωμαλιών στη δικτυακή κίνηση (Network Anomaly Detection Systems) που θα βασίζεται στις σημερινές πρακτικές διαχείρισης δικτύων και θα είναι επεκτάσιμη ώστε να προσαρμόζεται στην αναμενόμενη εξέλιξη των χαρακτηριστικών της δικτυακής κίνησης και των ανωμαλιών της.Η προτεινόμενη αρχιτεκτονική βασίζεται στην σύνθεση δεδομένων (data fusion) από πολλούς αισθητήρες (sensors) που συλλέγουν δεδομένα για τη δικτυακή κίνηση με χρήση διάφορων τεχνικών παθητικής παρακολούθησης δικτύων (π.χ. μέσω συλλογής πακέτων, SNMP MIB's και τεχνολογίας Netflow). Στην απλούστερη μορφή τους οι αισθητήρες χρησιμοποιούν ως αλγόριθμο ανίχνευσης σταθερές ή προσαρμοζόμενες συναρτήσεις κατωφλίου. Τα αποτελέσματα της ανίχνευσης κάθε στοιχειώδους αισθητήρα συνδυάζονται με έναν αλγόριθμο σύνθεσης δεδομένων όπως είναι η θεωρία των Dempster-Shafer (D-S).Στα πλαίσια της διατριβής υλοποιήθηκε ένα σύστημα ανίχνευσης κατανεμημένων επιθέσεων άρνησης υπηρεσιών σύμφωνα με την προτεινόμενη αρχιτεκτονική. Κατά την υλοποίηση αναπτύχθηκε λογισμικό παρακολούθησης δικτύου, υπολογισμού μετρικών, ανίχνευσης και σύνθεσης δεδομένων. Παράλληλα αναπτύχθηκε εργαλείο εξομοίωσης επιθέσεων άρνησης υπηρεσιών με ελεγχόμενα χαρακτηριστικά. Με τον τρόπο αυτό διεξήχθησαν πειράματα σε περιβάλλον πραγματικού δικτύου υψηλών ταχυτήτων (στη γραμμή σύνδεσης του Εθνικού Μετσόβιου Πολυτεχνείου και του Εθνικού Δικτύου Έρευνας και Τεχνολογίας ταχύτητας 1Gbps). Η ανάλυση των πειραματικών αποτελεσμάτων ανέδειξε χρήσιμα μετρικά για την ανίχνευση δικτυακών ανωμαλιών και απέδειξε την αποτελεσματικότητα της σύνθεσης δεδομένων. Συγκεκριμένα καταδείχθηκε πως η ανίχνευση ανωμαλιών στους ακραίους δρομολογητές του δικτύου ενός παρόχου (Provider Edge routers) είναι εφικτή και πως η σύνθεση δεδομένων από αισθητήρες που βασίζονται σε διαφορετικά μετρικά, μπορεί να βελτιώσει την απόδοση ενός συστήματος ανίχνευσης.