Анализ на трафика за засичане на прониквания в телекомуникационните мрежи

Основният принцип при извличането на функции е, че колкото по-малко функции са обект на наблюдение, толкова по-бърза е IDS. И обратно, колкото повече функции за наблюдение има IDS, толкова по-малко точна е тя. Разбира се, това не е абсолютна истина, тъй като има случаи, в точността при откриване на аномалии се е увеличила след прибавяне на допълнителни функции в мониторинга.

Тези случаи са разгледани по-подробно в точка 2.3. Анализът на функциите е от значение при оценката на изпълнението и разкриваемостта на IDS. Например, мрежовият трафик съдържа функции, които са съкратени, или техният принос към процеса на откриване е малък. Чрез намаляване на броя на функциите, изчислителната скорост на IDS се подобрява и цялостната ефективност се увеличава. Тези принципи са в съответствие с това, което е представено в литературата в тази област. ^{50 51 52 53}
2.1. Извличане на функции

Системите за откриване на проникване могат да прилагат както едновариантов подход, така също и многовариантов подход за откриване на прониквания в зависимост от използвания алгоритъм. При едновариантния подход се анализира една променлива на системата. Това може да бъде, например, номер на порта (port number), използването на процесора на локална машина и др. При многовариантния подход се анализира комбинация от няколко характеристики/функции и тяхната взаимна корелация.⁹ В зависимост от метода, по който се избират функциите за IDS, те могат да бъдат разделени на две групи: „функции за избор” и „функции за намаляване”.

При метода „избор на функции”, функциите се качват или ръчно от наблюдаваните данни или чрез използване на специфичен инструмент – избор на функции. Най-подходящите функции се избират чрез ръчно качване от функцията за радиочестоти въз основа на предварителни познания за околната среда, която IDS наблюдава. Например, функции, които могат да разграничат определен вид трафик от транспортния поток, се качват за подготовка на модела за мрежови трафик

Идеята зад инструмента избор на функции, е да се намали количеството на функции във възможно подмножество от функции, които не корелират помежду си. Примери за такива функции за избор са Бейс мрежите (BN - Bayesian networks) и дърветата за класификация и регресия (CART - classification and regression tree). BN е вероятностен графичен модел, който представлява вероятностни връзки между функции.⁵⁴ CART е техника, която използва tree-building алгоритми за изграждане на “tree-like” “if-then” прогнозни модели, които могат да бъдат използвани за определяне на различни класове от набор от данни⁵⁵.

Процесът на избор на функции е показан на фигура 2.1 В лявата страна са функциите (F0 ... FN), които са част от наблюдаваните данни, които са, например от мрежовия трафик. От дясната страна е изходът (F0. .. FM) на инструментите за избор. Броят на функции в изхода варира в зависимост от използвания инструмент за избор и от корелацията на функциите на входа. Следвайки основните принципи за анализ на функциите, броят на функциите на изхода (М на фигура 2.1) е в повечето случаи по-малък от броя на функциите на входа (N на фигура 2.1). Въпреки това, е възможно функциите на изхода да бъдат равни на тези на входа.

Фиг.1.1. Избор на функции

Ако наборът от данни на лабораторията Линкълн бъде взет като пример, инструментът за избор на функции ще избере от заглавните полета на мрежовия трафик IP адреса на източника, номер на порта при източника и други функции, описани в Приложение 1.

При метода намаляване на функции се извлича нов набор от функции въз основа на наличните функции от наблюдаваните данни, като например данни от мрежовия трафик. Основната идея на метода намаляване на функции е да се намали общият брой на използваните функции в мрежовия трафик. По принцип, намаляването на функции означава, че в рамките на определен период от време, няколко различни функции се наблюдават и нов набор от функции, след което се изчисляват от тези наблюдавани данни. Например, инструментът намаляване на функции може да следи броя на пакетите към конкретно място, в рамките на определен период от време. След това, когато периодът на наблюдение е свършил, нова функция (брой пакети за тази дестинация) е на разположение на IDS. Друг пример за метода намаляване на функции, е анализ на основните компоненти (PCA - principal component analysis). PCA е алгоритъм, който проверява и преобразува данните, за всички взаимосвързани променливи в серия от несвързани помежду си променливи, известни също като „основни компоненти”⁵⁶. Процесът на функцията за намаляване е илюстриран на фигура 2.2. В лявата част са функциите (F0 ... FN), които са взети от наблюдаваните данни, например, от мрежовия трафик. От дясната страна е изходът (V0 ... VN) на опцията за намаляване. Броят на функциите на изхода обикновено е по-малък в сравнение с този на входа, но може да бъде и един и същ. Новите функции (V0 ... VN) могат да се изчислят въз основа на една функция или комбинация от множество функции (F0 ... FN).

Наборът от данни KDD Cup 1999 може да се вземе като пример намаляване на функциите. Cup KDD се състои от функции (виж таблица 2.1), които са изчислени от мрежа на пакетно-базиран трафик в лабораторията Lincoln за данните на потока на трафика. Тези конвертирани функции се използват, например, в машинното обучение, основано на IDS.

Работата на IDS се основава на анализ на данни. В телекомуникационните мрежи има голямо разнообразие от различни източници на данни, които произвеждат информация или по-конкретно функции, които IDS може да анализира за прониквания и аномалии. Като цяло, има два основни източника на данни за проверка, които IDS използват: мрежови данни и хост-базирани логаритми за сигурност ²¹.

Мрежовите данни се събират посредством улавяне на пакетите и потоците от данни. Улавянето на пакетите може да бъде осъществявано чрез софтуерни или хардуерни продукти. Wireshark и Tcpdump са най-известните свободно достъпни софтуери за улавяне на пакети от мрежови данни. В допълнение към тези два, повечето от производителите на мрежови елементи, като рутери и суичове също предоставят и устройства за улавяне на пакети и потоци от данни (packet and flow capturers) като продукт, който може да бъде прикрепен към оборудването им. Например, Cisco предвижда един продукт, наречен NetFlow⁵⁸, който може да улавя потоци от мрежовия трафик. Кепчърите на потоците наблюдават пакета от данни и създават информационен поток, базиран на комуникацията между две крайни точки. Начинът, по който потокът бива интерпретиран варира, в зависимост от системата за мониторинг. Параметърът, който определя кога един поток завършва и започва нов, е времето на бездействие между комуникациите на двете крайни точки и това време се променя в рамките на системите за мониторинг. В допълнение, има и инструменти, които ще конвертират пакетите от данни в данни на мрежовия поток. Пример за такъв инструмент е Argus ⁵⁹.

• 
  Argus
  

Логаритмите (logs) съдържат записи на събития, настъпили в рамките на дадена организационна система или мрежа. Логаритмичните системи са създадени от гледна точка откриването на неизправности в управлението и мрежата. Като такива, те не са предназначени да се използват като защитен елемент. Въпреки това, в днешно време логаритмите се използват за целите на сигурността. SNMP MIB може да се използва като източник на данни за IDS (виж точка 2.3.3). С помощта на SNMP е възможно да се задават въпроси за състоянието на даден мрежов елемент или самият елемент може самостоятелно да изпрати актуализации на собственото си състояние. Като цяло, ръководното тяло изисква статута на даден мрежов елемент, използвайки SNMP. Мрежовият елемент след това изпраща записи в регистъра, които съответстват на получената заявка със SNMP ⁶².

Друг пример за използване на логаритми в откриването на аномалии е описан от Höglund⁶³. Höglund използва UNIX логаритми на потребителски акаунти за да идентифицира мрежовите модели на поведението на потребителите и да разпознае, когато поведението на потребителя се промени значително от обичайната схема.⁶⁴ В далекосъобщителните мрежи има множество архитектурни елементи (вж. Фигура 1.1), които произвеждат информация, която може да се използва при проникване и откриване на аномалия. Можем да назовем само няколко като AAA-сървър, бази данни, портали, SGSN, MME, Charging и HLR / VLR. Тези елементи генерират елементи за сигурност и управление, които могат да бъдат използвани за проникване и откриване на аномалия. Например информацията, събрана от мрежовите елементи заедно с алармиращите съобщения, генерирани от IDS могат да се използват с цел идентифициране на главната причина за проникване или аномалия. Тъй като повечето мрежови елементи генерират логаритми, има и други източници на логаритми за сигурност. Kent и колеги⁶⁵ дефинират три категории източници на данни за наблюдение, които генерират сигурност на логаритмите: защитен софтуер, операционни системи и приложения.

• 
  Софтуер за защита
  

Защитните стени и Antimalware софтуер генерират логаритми в случаите, когато подозрителни или злонамерени действия бъдат засечени. Proxy-сървърите генерират логаритми от мрежовите връзки и уеб заявленията, свързани с връзките. В допълнение, ако сървърът има функционалност за идентификация на потребителите, също така ще има възможност за достъп до потребителски идентификационни данни от лица, които имат достъп до уеб ресурси. Proxy-сървъри с AAA функционалност са особено полезни за осъществяване на проверка. Системите за откриване на проникване и превенция произвеждат логаритми, както всеки друг софтуер за сигурност.⁶⁷ Тези записи могат да се използваъ, например, в разпределена IDS архитектура (виж раздел 2.3.3), когато централният IDS събира логаритми от IDS датчиците.

• 
  Операционни системи и приложения
  

Функциите, използвани в предварителното проучване на IDS са най-общо организирани в пет категории: функции, основани на потоци от данни, пакети данни, SNMP данни, функции, събрани от UEs и функции, използвани в ad-hoc мрежа за мониторинг.

Lakhina и др.⁷⁰ анализират събитията, които са засегнати от разпределението на функциите на трафика и ги определят като аномалии. Те наблюдават целия мрежови трафик с помощта на следните IP пакетни заглавни данни:

• 
  IP адреса на източника;
  
• 
  IP адреса на дестинацията;
  
• 
  Порт номер на източника;
  
• 
  Порт номер на дестинацията.
  

Същите функции се използват и от Fontugne и др. ⁷² в техния подход за обработка на изображения при откриване на аномалии. Те сравняват техния метод за откриване на аномалии със статистически базиран метод, предложен от Dewaele и др. [53]. Сравнението е направено с помощта на данни от мрежовия трафик, събрани от Trans-Pacific. Fontugne и др. ⁷³ категоризират резултатите по подобен начин както Lakhina и др. ⁷⁴, но вместо да групират откритите аномалии в седем групи, те ги групират в 15.

Gorton⁷⁵ използва два метода за откриване на аномалии при анализа на логаритмичните данни от рутера - анализ на единичен случай и анализ на прага. Анализът на единичен случай алармира при засичане на проникване, когато едно събитие на проникване бъде открито. При анализа на прага се подава сигнал за открито проникване, когато то е свързано с множество натрупани дейности. В анализа си той събира Syslog съобщения от рутери Cisco и трансформира данните за логаритмите в набор от функции, които са:

• 
  Време от syslog;
  
• 
  Статут, който може да бъде разрешен или забранен;
  
• 
  Идентификатор на протокол;
  
• 
  Вид услуга;
  
• 
  IP адрес на източника;
  
• 
  Порт номер на източника;
  
• 
  IP адрес на дестинацията;
  
• 
  Порт номер на дестинацията;
  
• 
  Брой на ICMP съобщения;
  
• 
  Брой пакети.
  

Knuuti⁷⁷ сравнява използваемостта и производителността на три различни IDS в големи IP мрежи. Оценяваните IDS са Snort, Bro-IDS и TRCNetAD. Snort и Bro-IDS са способни да анализират трафика в реално време, докато TRCNetAD открива аномалии, базирани на IDS в нереално време. ⁷⁸Функциите, които използва Knuuti са ⁷⁹:

• 
  IP адрес;
  
• 
  Маркирано време;
  
• 
  Брой ICMP пакети;
  
• 
  Брой UDP потоци;
  
• 
  Брой TCP връзки;
  
• 
  Количество на получените данни;
  
• 
  Количество на изпратените данни;
  
• 
  Брой получени пакети;
  
• 
  Брой изпратени пакети;
  
• 
  Брой на използвани различни порт номера над 1024;
  
• 
  Брой на използваните порт номера над 1024;
  
• 
  Брой на използвани различни порт номера под 1024;
  
• 
  Брой на използваните порт номера под 1024;
  
• 
  Брой входящи поредици от различни IP-та;
  
• 
  Брой входящи поредици;
  
• 
  Брой изходящи поредици от различни IP-та;
  
• 
  Брой изходящи поредици.
  

• 
  Buffer overflow атаки;
  
• 
  Троянски коне;
  
• 
  Отказ на услуга;
  
• 
  VoIP атаки;
  
• 
  Heap overflow атаки;
  
• 
  DNS шпионски атаки;
  
• 
  Шпионски софтуер.
  

• 
  Изследвания на KDD Cup 1999
  

Zainal и др.⁸⁹ оценяват в своето изследване скоростта на откриване на IDS с помощта на пет оптимални функции на подмножествата, извлечени от 41 функции на базата данни KDD Cup (вж. таблица 2.1). За извличането те използват пет различни метода за изчисляване и избират шест най-важни функции за всяка подгрупа.

PSO е популационно базиран алгоритъм за търсене, който организира множеството от частици в оптимални региони въз основа на историческото поведение на всяка частица и нейните съседи. RST е инструмент избора на функции, който намира зависимости в данните и намалява броя на функции в един набор от данни.⁹² SVDF, LGP и MARS се използват по подобен начин, за да изберат оптималните функции на подгрупите, за да се намали броя на функциите в един набор от данни.⁹³

Mukkamala и др.⁹⁴ използват два метода за класиране и избор, за да изберат подгрупи от функции за всеки атакуващ тип група, описани в Приложение 2. Тези методи за подбор на функции са PBRM (performance-based ranking method) и SVDFRM (support vector decision function ranking method). Избраните функции са обобщени в таблица 2.2 (SVM, SVM (PBMR) и SVM (SVDFMR)). В PBRM на всяка линия се спуска по една функция от набора от функции, а останалите функции от набора се използват за обучение на IDS. След това, представянето на IDS се оценява и ако резултатите се подобрят, спусната функция се маркира като неважна функция. В случай, че резултатите се влошат, спуснатата функция се маркира като важна характеристика и се връща обратно към набора от функции. Това повторение продължава, докато всички функции в набора от функции са тествани и оценени.⁹⁵

Таблица 3.2. Функции, използвани в изследванията на KDD CUP 99



2.3.2. Пакетно-базирани функции

Kabiri и др.⁹⁶ провеждат изследвания за идентифицирането на ефективни функции за откриване на прониквания. Те извършват изследвания, свързани с откриване на проучвателни атаки ⁹⁷ и за откриване на смърф атаки ⁹⁸. Резултатите от тези изследвания също се използват ⁹⁹. Kabiri и др. ¹⁰⁰ използват Lincoln лабораторията с данни от 1998 г., за да изберат оптималните характеристики на заглавните полета на пакетите на IP и TCP. В приложение 1 са изброени всички 32 основни функции, които те извличат от заглавните полета на мрежовия трафик. Те използват метода на основнокомпонентния анализ (PCA), за да изберат оптималните подгрупи от 32-те функции за всяка от петте категории (виж точка 1.2.8) в Lincoln лабораторията за данни. Предложените функции на подгрупите са посочени в таблица 2.3.

В своята работа Kabiri и др.¹⁰¹ изследват стойността на информацията за всяка категория и заключението им за бъдещата работа заявява, че тези функции трябва да бъдат експериментирани в системата за откриване на проникване. В допълнение, сравнението на точността и ефективността трябва да се извършва с помощта на подгрупи от функции и чрез използването на всичките 32 функции.

Таблица 3.3. Функции, използвани от Kabiri и др.

Carrascal и др.¹⁰² използват в своя метод, основан на машинното изучаване, самостоятелно организирани карти заедно с изучаването на векторното квантуване, за откриване на прониквания. Те оценяват тяхната ефективност в откриването на аномалии, като използват Lincoln лабораторията с набори от данни като опитни данни. Нивото на откриване на проникванията в системата е 72%, а процентът на фалшиво засичване е 2%. За сравнение те предоставят списък с други методи за откриване на аномалии, чието ниво на разкриване на прониквания е по-добро от нивото на техния метод, но с по-голяма степен на фалшиви аларми. Функциите, които Carrascal и др. употребяват са ¹⁰³:

• 
  Кодиране на TCP флаговете;
  
• 
  IP номер на протокола;
  
• 
  IP тип услуга;
  
• 
  TCP уиндоус;
  
• 
  Размер на пакета;
  
• 
  Кодиране на ;
  
• 
  Порт на местоположението;
  
• 
  Порт на източника;
  
• 
  IP на източника;
  
• 
  IP на местоположението;
  
• 
  Кодиране на TCP опциите.
  

Lee и др.¹⁰⁵ използват Simple Network Management Protocols Management Information Base (SNMP MIB) ¹⁰⁶ за откриване на проникване. SNMP е протокол, използван в TCP / IP-мрежа за управление и идеята да го използват като инструмент за наблюдение на сигурността е интригуваща. SNMP логаритмите се генерират в мрежовите устройства във всеки случай и чрез използването на вече налични логаритми не се добавят нови изисквания към мрежовата инфраструктура. С помощта на SNMP MIB, някои от трудностите за откриване на прониквания в мрежата могат да бъдат избегнати. Няма някакви лични притеснения, тъй като поверителната информация на потребителите не е необходимо да бъде анализирана. Също така, нивата на данни са ниски в сравнение с количеството на мрежовия трафик. SNMP MIB не изисква нов хардуер, тъй като SNMP е широко поддържан. ¹⁰⁷ В своята работа Lee и др. ¹⁰⁸ използват 12 функции от SNMP MIB за откриване на проникване. Трафикът на интерфейсите се оценява чрез анализ на корелацията на съответствието между IP на груповите обекти и интерфейс груповите обекти на SNMP MIB. Функциите на SNMP MIB, които Лий и др. използват, са описани в Таблица 2.4. В заключенията си те предполагат, че само IP груповите функции могат да се използват, за да се подобри изпълнението на анализа.¹⁰⁹

Комбинация от хост базирана система за откриване на прониквания (HIDS) и дистанционен сървър за откриване на прониквания е система, предложена от Miettinen и др.¹¹⁹ и по-късно се използва от Schmidt и др.¹²⁰. При тази система потребителското оборудване (ПО) има хост-базиран IDS наблюдение на поведението на ПО и проследява тези наблюдавани характеристики на отдалечен IDS сървър. Отдалеченият сървър анализира функциите за аномалии като червеи и друг злонамерен софтуер.¹²¹Функции, които Schmidt и др. наблюдават са¹²²:

• 
  Количество наличен RAM;
  
• 
  Брой създадени TCP/IP връзки;
  
• 
  Престой на потребителя в секунди;
  
• 
  Заетост на процесора в проценти;
  
• 
  Ниво на заряд на батерията;
  
• 
  Индикатор на потребителския престой „Bool”, който е верен ако потребителят е в престой и грешен, ако не е;
  
• 
  Налично пространство в хард-диска;
  
• 
  Количество работещи теми;
  
• 
  ID на мрежовата клетка на мобилния телефон;
  
• 
  Брой инсталирани приложения;
  
• 
  Брой на отворените Bluetooth връзки;
  
• 
  Брой на изпратените SMS съобщения;
  
• 
  Брой на изпратените MMS съобщения;
  
• 
  Брой на получените MMS съобщения.
  

5. 
   Използвани функции при временния мрежови мониторинг
   

Атрибутите, които не са свързани с трафика са:

• 
  Време за маркировка;
  
• 
  Възлова скорост на движение (скала);
  
• 
  Добавяне на маршрут към новодобавени маршрути посредством откриване на маршрути;
  
• 
  Брой отстранени маршрути - за стари маршрути, които са били премахнати;
  
• 
  Брой на намерените маршрути – за кеширани маршрути, които не се нуждаят от преоткриване;
  
• 
  Известие за броя на маршрутите – за добавени маршрути чрез подслушване;
  
• 
  Брой маршрути за ремонт – за счупени маршрути, които понастоящем са в ремонт;
  
• 
  Коефициент на общата промяна на маршрутите в рамките на периода;
  
• 
  Средна продължителност на активните маршрути.
  

• 
  Типа пакет от данни, маршрут, съобщения „ROUTE REQUEST”, „ROUTE REPLY”, „ROUTE ERROR” и „HELLO”;
  
• 
  Посока на получените, изпратените, препратените и изпуснатите потоци;
  
• 
  Пробни периоди на 5, 60 и 900 секунди;
  
• 
  Статистика, мярка, брой и стандартно отклонение на интер-пакетните интервали.
  

Wang и др. използват подобни атрибути като тези на Huang и др.¹²⁷, но с малка разлика. Те разделят типа пакетни данни на два отделни вида: размера на данните и номер на данните. В допълнение, те пропускат статистиката, измерването, броят и изчислението на стандартните отклонения на интерепакетните интервали от наблюдаваните атрибути, за да се намали общата сума от функции, които биха били общо 150. Без тези атрибути, общият размер на наблюдаваните функции е 75. В техните изчисления Wang и др. още повече намаляват общата сума на функции от 75 на 25. ¹²⁸