Analyse af netværkskaos fører til bedre DDoS-detektion

Analyse af netværkskaos fører til bedre DDoS-detektion

Tidsstempel: 8. august 2023 kl. 9

Internettet er et kaotisk medie - pakker har en tendens til at flyde fra et ensartet distribueret sæt af kilder til en række forskellige destinationer.

Men under et distribueret denial-of-service-angreb (DDoS) bliver kaosset pludselig mere ordnet: Et stort antal enheder sender netværkspakker til et begrænset antal adresser i en lille tidsramme. Ved at analysere sådanne usædvanlige ændringer i internettets entropi sagde en gruppe forskere fra Pacific Northwest National Laboratory (PNNL) at de kan identificere 99% af DDoS-angreb med kun en 2% falsk-positiv rate i gennemsnit. De sammenlignede deres metode med et sæt på 10 standardalgoritmer, som identificerede kun 52 % af angrebene i gennemsnit og 62 % af angrebene i det bedste tilfælde.

Algoritmen - som forskerne kaldte "DDoS-angrebsdetektion via differentiel analyse af generaliseret entropi" eller DoDGE - er både mere nøjagtig og mindre tilbøjelig til at fejlagtigt identificere et angreb end andre foranstaltninger, siger Omer Subasi, en computerforsker ved PNNL og en forfatter. af et papir om emnet præsenteret for IEEE International Conference on Cyber ​​Security and Resilience.

"Under normale omstændigheder er trafik fra afsendere og til modtagere relativt godt fordelt, og dette niveau af entropi forbliver ret stabilt," siger han. "Men under angrebsscenarier opdager vi en ubalance mellem afsendere og modtagere. Ved at kvantificere, hvordan dette ændrer sig over tid og graden af ​​forandring, er vi i stand til at identificere igangværende angreb."

Mens ransomware og business email compromise (BEC)-angreb har en tendens til at tiltrække mest opmærksomhed fra sikkerhedsgrupper, er DDoS-angreb fortsat være den mest virkningsfulde for virksomheder. I løbet af de sidste fire år har DDoS-angreb tegnet sig for den største andel af sikkerhedshændelser rapporteret af virksomheder, ifølge Verizons årlige "Rapport om dataovertrædelse".

Diagrammer over DDoS-datasæt

Datasæt viser forskellen i entropi mellem godartet trafik (øverst til venstre), et angreb (øverst til højre) og to flash-begivenheder forårsaget af fodboldkampe. Kilde: Pacific Northwest National Laboratory

Bedre metoder til detektion kan hjælpe virksomheder med at reagere hurtigere på angreb og indføre bedre modforanstaltninger, siger Allen West, forsker ved Akamai.

"Ved at være i stand til at bekræfte, om et DDoS-angreb i øjeblikket finder sted, giver forsvarere mulighed for trygt at implementere målrettede forsvarsmekanismer, såsom præcis trafikfiltrering og andre DDoS-specifikke beskyttelsestjenester," siger han. "Det giver også målorganisationen mulighed for at indsamle mere information om hændelsen, som er værdifuld fra et efterretningsmæssigt synspunkt, hvilket kan give dem mulighed for at udlede kilden eller årsagen bag angrebene."

Internetkaos er normalt

Den mest almindelige tilgang til at opdage denial-of-service (DoS)-angreb er at oprette en tærskel — en topbåndbredde eller pakkeantal, over hvilken en stigning i trafikken betragtes som et angreb. PNNL-forskningen måler i stedet entropien af ​​netværkstrafik og fokuserer specifikt på, hvordan to mål for entropi ændrer sig: Ved målet stiger anmodninger om en specifik ressource under et DDoS-angreb, hvilket fører til mindre entropi, mens antallet af kilder vokser, hvilket øger entropien .

Ved at se på de små ændringer over tid skelnede forskerne mellem stigninger i lovlig trafik - såkaldte "flash-begivenheder" - og faktiske angreb, siger Kevin Barker, en hovedefterforsker ved PNNL.

"Kun noget af det eksisterende arbejde forsøger endda at løse dette problem med differentiering," siger han. "Alternative løsninger bruger enten tærskler eller er ML/AI-baserede, hvilket kræver store data og medfører dyr træning og omskoling for at tilpasse sig."

Evnen til hurtigt at skelne mellem et sandt angreb og en stigning i lovlig trafik på grund af for eksempel en nyhedsbegivenhed eller viralt indhold er afgørende for at bestemme et svar, siger Akamai's West.

"Med et DDoS-angreb vil indsatsen for at identificere og blokere ondsindet trafik og samtidig bevare legitim trafik være hovedprioriteten," siger West. "Med 'flash-begivenheder' kan der dog tages forskellige handlinger for at håndtere denne belastning så yndefuldt som muligt uden at tage mere aggressive foranstaltninger."

Falske positiver mangler stadig at falde

Den entropi-baserede detektion af DDoS-angreb forbedres betydeligt med tærskelbaserede metoder, med en relativt lille frekvens af misklassificering af legitimt indhold (kendt som en falsk positiv), ifølge forskerne. Teknikken havde falsk-positive rater på mindre end 7 % i alle tilfælde og mindre end 2 % i gennemsnit på tværs af 10 virkelige datasæt.

Men for at være nyttige i den virkelige verden skal sådanne teknikker have en falsk-positiv rate, der nærmer sig nul, siger Patrick Donahue, vicepræsident for produkt hos Cloudflare.

"I årenes løb har vi set forskningsteknikker offentliggjort, der ser ud til at fungere godt i laboratoriets snævert definerede parametre, men som ikke er effektive eller ikke er i stand til at skalere," siger han. "For eksempel afviger de falsk-positive rater, som kunder i den virkelige verden vil tolerere, og de prøveudtagningshastigheder, der kræves for at opdage i skala, ofte væsentligt fra, hvad der er acceptabelt i laboratoriet."

PNNL-forskerne understreger, at deres algoritmer er adaptive, så den falske positive rate kan minimeres ved at ofre en vis præcision i angrebsdetektion. I scenarier i den virkelige verden kan yderligere data desuden bruges til at udvide den grundlæggende algoritme.

Fordi den er relativt let fra et beregningsmæssigt perspektiv, kan DoDGE-algoritmen have fordele til at bygge en robust infrastruktur til 5G-netværk, som forventes at øge antallet af tilsluttede enheder markant, udtalte PNNL's Barker i laboratoriets meddelelse.

"Med så mange flere enheder og systemer forbundet til internettet er der mange flere muligheder end før for at angribe systemer ondsindet," sagde Barker. "Og flere og flere enheder som hjemmesikkerhedssystemer, sensorer og endda videnskabelige instrumenter føjes til netværk hver dag. Vi er nødt til at gøre alt, hvad vi kan for at stoppe disse angreb."

Tidsstempel:

Mere fra Mørk læsning