ניתוח כאוס ברשת מוביל לזיהוי DDoS טוב יותר

ניתוח כאוס ברשת מוביל לזיהוי DDoS טוב יותר

חותמת זמן: 8 באוגוסט 2023 9:58

האינטרנט הוא מדיום כאוטי - חבילות נוטות לזרום ממערכת מקורות מבוזרת אחידה למגוון יעדים.

אולם במהלך מתקפת מניעת שירות מבוזרת (DDoS), הכאוס הופך לפתע מסודר יותר: מספר רב של מכשירים שולחים מנות רשת למספר מוגבל של כתובות בפרק זמן קטן. על ידי ניתוח שינויים חריגים כאלה באנטרופיה של האינטרנט, קבוצת חוקרים עם המעבדה הלאומית של צפון מערב הפסיפיק (PNNL) אמרה שהם יכולים לזהות 99% מהתקפות DDoS עם שיעור חיובי כוזב של 2% בלבד בממוצע. הם השוו את השיטה שלהם עם קבוצה של 10 אלגוריתמים סטנדרטיים, אשר זיהו רק 52% מההתקפות בממוצע ו-62% מההתקפות בתרחיש הטוב ביותר.

האלגוריתם - אותו כינו החוקרים "זיהוי התקפת DDoS באמצעות ניתוח דיפרנציאלי של אנטרופיה כללית", או DoDGE - הוא גם מדויק יותר וגם פחות נוטה לזהות התקפה כוזבת מאשר מדדים אחרים, אומר עומר סובסי, מדען מחשבים ב-PNNL ומחבר של מאמר בנושא שהוצג בפני כנס בינלאומי של IEEE בנושא אבטחת סייבר וחוסן.

"בנסיבות רגילות, התעבורה משולחים ומקבלים מפוזרת בצורה טובה יחסית, ורמת האנטרופיה הזו נשארת יציבה למדי", הוא אומר. "עם זאת, בתרחישי התקפה, אנו מזהים חוסר איזון בין השולחים והמקבלים. על ידי כימות כיצד זה משתנה לאורך זמן ומידת השינוי, אנו מסוגלים לזהות התקפות מתמשכות".

בעוד שהתקפות כופר והתקפות דוא"ל עסקיות (BEC) נוטות למשוך את מירב תשומת הלב מקבוצות אבטחה, התקפות DDoS להמשיך להיות המשפיע ביותר עבור עסקים. במהלך ארבע השנים האחרונות, התקפות DDoS היוו את הנתח הגדול ביותר של תקריות האבטחה שדווחו על ידי חברות, על פי הדוח השנתי של Verizon.דוח חקירות על הפרות נתונים".

תרשימים של מערכי נתונים של DDoS

מערכי נתונים מראים את ההבדל באנטרופיה בין תנועה שפירה (משמאל למעלה), התקפה (מימין למעלה) ושני אירועי הבזק שנגרמו על ידי משחקי כדורגל. מקור: Pacific Northwest National Laboratory

שיטות זיהוי טובות יותר יכולות לעזור לעסקים להגיב מהר יותר להתקפות ולהפעיל אמצעי נגד טובים יותר, אומר אלן ווסט, חוקר ב-Akamai.

"היכולת לאשר אם מתרחשת כרגע מתקפת DDoS מאפשרת למגינים לפרוס בביטחון מנגנוני הגנה ממוקדים, כגון סינון תעבורה מדויק ושירותי הגנה ספציפיים אחרים ל-DDoS", הוא אומר. "זה גם מסמיך את ארגון היעד לאסוף מידע נוסף על האירוע בעל ערך מנקודת מבט מודיעינית, מה שעשוי לאפשר להם להסיק את המקור או הסיבה מאחורי התקיפות".

כאוס באינטרנט הוא נורמלי

הגישה הנפוצה ביותר לזיהוי התקפות מניעת שירות (DoS) היא יצירת סף - רוחב פס או ספירת מנות עליונה שמעליה עלייה בתעבורה נחשבת להתקפה. מחקר PNNL מודד במקום זאת את האנטרופיה של תעבורת הרשת, תוך התמקדות באופן ספציפי כיצד שני מדדים של אנטרופיה משתנים: במטרה, בקשות למשאב ספציפי גדלות במהלך התקפת DDoS, מה שמוביל לפחות אנטרופיה, בעוד שמספר המקורות גדל, ומגביר את האנטרופיה .

על ידי הסתכלות על השינויים הקטנים לאורך זמן, החוקרים הבדילו בין עליות של תנועה לגיטימית - מה שנקרא "אירועי הבזק" - לבין התקפות ממשיות, אומר קווין בארקר, חוקר ראשי ב-PNNL.

"רק חלק מהעבודה הקיימת אפילו מנסה לטפל בבעיה הזו של בידול", הוא אומר. "פתרונות אלטרנטיביים משתמשים בספים או שהם מבוססי ML/AI, שדורשים נתונים גדולים וכרוכים בהכשרה והכשרה מחדש כדי להסתגל."

היכולת להבדיל במהירות בין התקפה אמיתית לבין עלייה בתנועה לגיטימית עקב, למשל, אירוע חדשותי או תוכן ויראלי היא קריטית לקביעת התגובה, אומר אקמאי'ס ווסט.

"עם מתקפת DDoS, המאמצים לזהות ולחסום תעבורה זדונית תוך שמירה על תעבורה לגיטימית יהיו בראש סדר העדיפויות", אומר ווסט. "עם 'אירועי הבזק', עם זאת, ניתן לנקוט בפעולות שונות כדי להתמודד עם העומס הזה בצורה חיננית ככל האפשר מבלי לנקוט באמצעים אגרסיביים יותר."

חיובי שווא עדיין צריכים ליפול

הזיהוי המבוסס על אנטרופיה של התקפות DDoS משתפר משמעותית עם שיטות מבוססות סף, עם שיעור קטן יחסית של סיווג שגוי של תוכן לגיטימי (הידוע כ-false positive), על פי החוקרים. לטכניקה היו שיעורים חיוביים כוזבים של פחות מ-7% בכל המקרים ופחות מ-2% בממוצע על פני 10 מערכי נתונים בעולם האמיתי.

ובכל זאת כדי להיות שימושיים בעולם האמיתי, טכניקות כאלה צריכות לקבל שיעור חיובי כוזב שמתקרב לאפס, אומר פטריק דונהיו, סגן נשיא למוצר ב-Cloudflare.

"במהלך השנים ראינו טכניקות מחקר שפורסמו שנראות כעובדות היטב בפרמטרים המוגדרים בצר של המעבדה, אך אינן יעילות או אינן מסוגלות לשנות את קנה המידה", הוא אומר. "לדוגמה, השיעורים החיוביים השגויים שלקוחות בעולם האמיתי יסבלו ושיעורי הדגימה הנדרשים לזיהוי בקנה מידה שונים לעתים קרובות מהותית מהמקובל במעבדה".

חוקרי PNNL מדגישים שהאלגוריתמים שלהם אדפטיביים, כך שניתן למזער את שיעור החיובים השגויים על ידי הקרבת דיוק מסוים בזיהוי התקפות. יתרה מכך, בתרחישים בעולם האמיתי, ניתן להשתמש בנתונים נוספים כדי להגדיל את האלגוריתם הבסיסי.

מכיוון שהוא קל יחסית מנקודת מבט חישובית, לאלגוריתם DoDGE יכול להיות יתרונות לבניית תשתית גמישה עבור רשתות 5G, שצפויות להגביר משמעותית את מספר המכשירים המחוברים, אמר בארקר מ-PNNL בהודעת המעבדה.

"עם כל כך הרבה יותר מכשירים ומערכות המחוברים לאינטרנט, יש הרבה יותר הזדמנויות מבעבר לתקוף מערכות בזדון", אמר בארקר. "ועוד ועוד מכשירים כמו מערכות אבטחה לבית, חיישנים ואפילו מכשירים מדעיים מתווספים לרשתות מדי יום. אנחנו צריכים לעשות כל שביכולתנו כדי לעצור את ההתקפות האלה".

בול זמן:

עוד מ קריאה אפלה