नेटवर्क DDoS हमलों का पता लगाने के लिए मशीन-सिंथेटिक दृष्टिकोण। भाग 1

सभी को नमस्कार। हाल ही में, हमारे पास बड़ी संख्या में नए लॉन्च हैं और आज मैं "नेटवर्क इंजीनियर" पाठ्यक्रम की घोषणा करना चाहूंगा, जो मार्च के शुरू में ही शुरू हो जाएगा। परंपरागत रूप से, हम आपके साथ विषय पर उपयोगी सामग्री साझा करना शुरू करते हैं, और आज हम लेख का पहला भाग प्रकाशित करते हैं "नेटवर्क-डूडो हमलों का पता लगाने के लिए मशीन-सिंथेटिक दृष्टिकोण"। चलो चलते हैं!

नोटबंदी । लेखकों के अनुसार, अटोम डिटेक्शन सिस्टम या एडीएस (एनोमली डिटेक्शन सिस्टम) संभवतः हमले का पता लगाने के क्षेत्र में सबसे आशाजनक क्षेत्र है, क्योंकि ये सिस्टम अन्य चीजों, अज्ञात हमलों (शून्य दिन) के बीच का पता लगा सकते हैं। विसंगतियों की पहचान करने के लिए, लेखक मशीन सिंथेसिस का उपयोग करने का प्रस्ताव देते हैं। इस मामले में, मशीन सिन्थेसिया को एक इंटरफ़ेस के रूप में समझा जाता है जो आपको नेटवर्क विसंगतियों का पता लगाने की समस्या में छवि वर्गीकरण एल्गोरिदम का उपयोग करने की अनुमति देता है, जिससे आप छवियों का पता लगाने के लिए गैर-विशिष्ट तरीकों का उपयोग कर सकते हैं, जो हाल ही में व्यापक रूप से और सक्रिय रूप से विकसित हुए हैं। प्रस्तावित दृष्टिकोण यह है कि नेटवर्क ट्रैफ़िक डेटा छवि में अनुमानित है। प्रयोगात्मक परिणामों से यह देखा जाता है कि विसंगतियों का पता लगाने के लिए प्रस्तावित विधि हमलों का पता लगाने में उच्च परिणाम दिखाती है। एक बड़े नमूने में, एक व्यापक प्रदर्शन संकेतक का मूल्य 97% तक पहुंच जाता है।

1. परिचय

नेटवर्क उपलब्धता सुनिश्चित करने के तरीकों में से एक नेटवर्क विसंगति का पता लगाने वाले तंत्र का उपयोग है। विसंगति का निर्धारण करने से पहले, यह पता लगाना आवश्यक है कि एक सामान्य स्थिति क्या है। हम सिस्टम की स्थिति को "सामान्य" (या "कार्यात्मक रूप से व्यवहार्य") मानते हैं जब वह इसे सौंपे गए सभी कार्यों को करता है।

इसलिए, एक विसंगति एक ऐसी स्थिति है जिसमें प्रणाली का व्यवहार सामान्य व्यवहार की स्पष्ट रूप से स्थापित विशेषताओं के अनुरूप नहीं होता है [1]। इस तरह की विसंगतियों के तेजी से पता लगाने के लिए तंत्र की शुरूआत से नेटवर्क व्यवधान की घटनाओं के लिए प्रभावी प्रतिक्रिया की संभावना बढ़ जाएगी।

ज्ञात नेटवर्क विसंगतियाँ इतनी विविध हैं कि उन्हें एक वर्गीकरण का उपयोग करके वर्गीकृत नहीं किया जा सकता है। हालांकि, सक्रिय और निष्क्रिय, बाहरी और आंतरिक, जानबूझकर और अनजाने में विसंगतियों, आदि के बीच एक स्पष्ट अंतर है, क्योंकि ये अंतर अध्ययन किए गए घटना की सभी विशेषताओं को प्रतिबिंबित नहीं करते हैं, लेखक [2] ने प्रभाव की वस्तु, सूचना प्रणाली, के आधार पर विसंगतियों का वर्गीकरण प्रस्तावित किया है। हार्डवेयर, सॉफ्टवेयर और नेटवर्क के बुनियादी ढांचे से मिलकर।

चुने हुए दृष्टिकोण के अनुसार, नेटवर्क विसंगतियों को दो मुख्य समूहों में विभाजित किया जा सकता है: नोड विफलताओं और सुरक्षा उल्लंघनों। होस्ट विफलताओं में हार्डवेयर विफलताओं, डिज़ाइन और कॉन्फ़िगरेशन त्रुटियां, सॉफ़्टवेयर त्रुटियां और हार्डवेयर प्रदर्शन समस्याएं शामिल हैं। नेटवर्क सुरक्षा उल्लंघनों में निम्नलिखित विसंगतियां शामिल हैं: नेटवर्क स्कैनिंग, सेवा से इनकार, मैलवेयर, नेटवर्क वर्म प्रसार, कमजोरियों का शोषण, ट्रैफ़िक विश्लेषक (स्निफ़र्स) और नेटवर्क संशोधक (पैकेट इंजेक्शन, हेडर फ़ॉफ़िंग, आदि)।
दूरसंचार ऑपरेटरों को सबसे बड़ी वित्तीय क्षति सेवा से वंचित (DoS) की घटनाओं के कारण होती है। DoS के हमले, बदले में, दो प्रकारों में विभाजित किए जा सकते हैं: अनजाने में हुए "हमले" (डिज़ाइन और नेटवर्क कॉन्फ़िगरेशन त्रुटियां, आवंटित कंप्यूटिंग संसाधनों की एक छोटी संख्या, एक नेटवर्क संसाधन तक पहुंच की तीव्र वृद्धि) और जानबूझकर किए गए हमले, जैसे UDP बाढ़, TCP -एसवाईएन बाढ़, स्मर्फ आईसीएमपी बाढ़ और आईसीएमपी बाढ़ प्रसारित करता है। जानबूझकर हमले सबसे बड़ा खतरा पैदा करते हैं, क्योंकि वे अधिक प्रभावी ढंग से कम करने के लिए अधिक कठिन होते हैं, और संभवतः वे बड़े नुकसान का कारण बन सकते हैं।

[3,4,5,6,7,8] में प्रकाशित शोध परिणामों के विश्लेषण के साथ-साथ सूचना सुरक्षा प्रणालियों के मुख्य डेवलपर्स की रिपोर्टों से पता चला कि सेवा हमलों से इनकार करने का पता लगाने और रोकने के लिए एक भी प्रभावी एल्गोरिदम नहीं है। आपूर्तिकर्ता आमतौर पर एक महंगे समाधान की पेशकश करते हैं जो हस्ताक्षर खोज विधियों के आधार पर एक हाइब्रिड एल्गोरिथ्म को लागू करता है और एक हमलावर साइट के आईपी पतों को जोखिम में कमी के रूप में ब्लैकलिस्ट करता है। एक उदाहरण आर्बर लिमिटेड से एटलस सिस्टम है। इस प्रकार, उच्च स्तर की दक्षता के साथ वितरित DoS हमलों का पता लगाने के लिए विकासशील उपकरणों की समस्या प्रासंगिक बनी हुई है।

2. मौजूदा दृष्टिकोण

लेखकों के अनुसार, विसंगति का पता लगाने वाले सिस्टम या एडीएस संभवतः हमले का पता लगाने के क्षेत्र में सबसे आशाजनक क्षेत्र हैं, क्योंकि ये सिस्टम अन्य चीजों, अज्ञात हमलों (शून्य दिन) के बीच का पता लगा सकते हैं। साहित्य में वर्णित लगभग सभी विसंगतियों का पता लगाने वाले मॉडल को पाँच समूहों में विभाजित किया जा सकता है:

• a) एक व्यवहारिक भंडारण पैटर्न पर आधारित [9,10]। इस दृष्टिकोण के सॉफ्टवेयर कार्यान्वयन को ऑपरेटिंग सिस्टम के कर्नेल में संकलित किया जाना चाहिए, जो लगभग असंभव है (उदाहरण के लिए, विश्वसनीय कंप्यूटिंग सिस्टम में)। इसके अलावा, निगरानी घटक की निरंतर उपस्थिति लगभग 4-50% द्वारा पूरे सिस्टम के समग्र मंदी की ओर जाता है;
• बी) आवृत्ति के आधार पर [११,१२]। आवृत्ति विधियों के सामान्य नुकसान उनकी खराब अनुकूलन क्षमता है, क्योंकि प्रशिक्षण सेट या विशेषज्ञ डेटा के अनुसार एक बार आवृत्तियों के संदर्भ मान निर्धारित किए जाते हैं। इसके अलावा, ये विधियां आमतौर पर "स्टेटलेस" होती हैं, अर्थात, जिस क्रम में संकेत दिखाई देते हैं, उस पर ध्यान नहीं दिया जाता है;
• c) क्लासिफायर के तंत्रिका नेटवर्क पर आधारित [13,14,15,16,17]। कई तंत्रिका नेटवर्क का नुकसान अव्यवस्थित डेटा सेट के प्रसंस्करण के लिए उनकी खराब उपयुक्तता है। तत्व मानों के एक सेट के लिए एक कृत्रिम आदेश की शुरूआत केवल तस्वीर को विकृत करेगी, क्योंकि तंत्रिका नेटवर्क संख्यात्मक मानों की निकटता के अनुसार वजन पुन: गणना करेगा;
• d) परिमित राज्य मशीनों (राज्य मशीन) के संश्लेषण पर आधारित [6,9,18,19,20]। इस दृष्टिकोण का मुख्य नुकसान हमले की स्थिति का विश्लेषण करके एक परिमित राज्य मशीन के निर्माण की जटिल प्रक्रिया है। इसके अलावा, हमले के एल्गोरिदम के प्रकार पर प्रतिबंध हैं जिन्हें नियमित व्याकरण का उपयोग करके वर्णित किया जा सकता है;
• ई) अन्य, विशेष वाले: बायेसियन नेटवर्क पर आधारित [21], आनुवंशिक एल्गोरिदम [22], आदि अधिकांश कार्य केवल मूल विचार प्रदान करते हैं, एक एल्गोरिथ्म जो व्यावहारिक उपयोग के लिए अक्सर अनुपयुक्त होता है।

3. प्रस्तावित दृष्टिकोण

विसंगतियों की पहचान करने के लिए, लेखक मशीन सिंथेसिस का उपयोग करने का प्रस्ताव देते हैं। इस मामले में, मशीन सिन्थेसिया को एक इंटरफ़ेस के रूप में समझा जाता है जो नेटवर्क विसंगतियों का पता लगाने की समस्या में छवि वर्गीकरण एल्गोरिदम के उपयोग की अनुमति देता है, जिससे छवियों का पता लगाने के लिए गैर-विशिष्ट तरीकों का उपयोग करने की अनुमति मिलती है, जिसे हाल ही में व्यापक रूप से और सक्रिय रूप से विकसित किया गया है [23]। प्रस्तावित दृष्टिकोण यह है कि छवि में नेटवर्क ट्रैफ़िक डेटा "अनुमानित" है। छवि परिवर्तनों का संचय हमें एक वीडियो स्ट्रीम देता है, जिसका विश्लेषण करते हुए, हम देखे गए डेटा नेटवर्क की विषम स्थिति के बारे में निष्कर्ष निकाल सकते हैं।

किसी भी विसंगति का पता लगाने का आधार एक मॉड्यूल है जो नेटवर्क पैकेट का विश्लेषण करता है और उनकी संभावित हानिकारकता को निर्धारित करता है। वास्तव में, ADS नेटवर्क ट्रैफ़िक को दो सबसेट में वर्गीकृत करने का प्रयास कर रहा है: नियमित ट्रैफ़िक और नेटवर्क अटैक (यह मायने नहीं रखता है कि कौन-सी तकनीक का उपयोग किया जाता है: हस्ताक्षर-आधारित या सांख्यिकीय)। इसलिए, एडीएस अवधारणा स्वयं छवि वर्गीकरण एल्गोरिदम के लक्ष्यों के साथ बहुत अच्छे समझौते में है - कुछ विशेषताओं के अनुसार सेट से छवियों के वर्ग के साथ मूल छवि की तुलना करना। इसके अलावा, नेटवर्क ट्रैफ़िक डेटा का विश्लेषण करने और नेटवर्क हमलों का पता लगाने के लिए गणितीय टूल के रूप में छवियों को वर्गीकृत करने से पहले चर्चा की गई विसंगति का पता लगाने पर कई फायदे हैं। ये लाभ नीचे प्रस्तुत किए गए हैं।

• छवियों को वर्गीकृत करने के लिए गणितीय उपकरण को विज्ञान और प्रौद्योगिकी के कई अन्य क्षेत्रों में अच्छी तरह से डिजाइन और परीक्षण किया गया है।
• बड़ी संख्या में छवि वर्गीकरण एल्गोरिदम और उन्हें सुधारने के पर्याप्त अवसर इस गणितीय तंत्र को बहुत लचीला बनाते हैं और नेटवर्क में घुसपैठ का पता लगाने की दक्षता बढ़ाने के लिए व्यापक क्षमता प्रदान करते हैं।
• अधिकांश छवि वर्गीकरण एल्गोरिदम जो उच्च व्यावहारिक दक्षता प्रदर्शित करते हैं, सॉफ्टवेयर में समझना और लागू करना अपेक्षाकृत आसान है।
• बहुत बड़ी मात्रा में इनपुट के साथ भी छवि वर्गीकरण बहुत प्रभावी है। यह तथ्य हमें इन विधियों को विशेष रूप से नेटवर्क ट्रैफ़िक के बड़े डंप के विश्लेषण के लिए उपयुक्त बनाता है।
• यदि कुछ प्रकार के नेटवर्क हमलों का पता लगाने के संदर्भ में नेटवर्क पैकेट की कुछ विशेषताओं के महत्व के बारे में कोई पूर्व सूचना नहीं है, तो भी छवि वर्गीकरण लागू किया जा सकता है।
• परिणामों की व्याख्या काफी सरल और सहज है।

3.1। एक छवि के रूप में बहुआयामी टीसीपी / आईपी यातायात डेटा की प्रस्तुति

लेखकों ने नेटवर्क ट्रैफ़िक के मेटाडेटा को इस तरह से पेश करने की समस्या को हल करने का प्रस्ताव दिया है जो वीडियो स्ट्रीम में विसंगतियों का पता लगाने के लिए पैटर्न मान्यता एल्गोरिदम का उपयोग करने की अनुमति देगा।

एक नेटवर्क टर्मिनल डिवाइस पर विचार करें जो एक आभासी चैनल में ट्रैफ़िक एकत्र करता है। प्रत्येक संग्रहित पैकेज में मेटाडेटा का एक सेट है जिसे वेक्टर p के रूप में दर्शाया गया है:



जहाँ n वेक्टर का आयाम है, P सभी वैक्टर का सेट है, आईडी सत्र पहचानकर्ता है, दिनांक टर्मिनल पंजीकरण टाइमस्टैम्प है, X1, ..., xn दिशा और पते और प्रेषक और रिसीवर, पैकेट का आकार, प्रोटोकॉल प्रकार, टाइमस्टैम्प (जैसे में) है टीसीपी खंड हेडर), विभिन्न झंडे और सेवा क्षेत्र।

एक छवि में ट्रैफ़िक को प्रोजेक्ट करने के लिए, ऑर्थोगोनल प्रोजेक्शन विधि का उपयोग किया जाता है: [24]: प्रत्येक वेक्टर पी को एक बिंदु से बहुआयामी स्थान में दर्शाया जाता है, जहाँ n अंतरिक्ष का आयाम है, फिर एक सत्र से संबंधित सभी बिंदुओं (पैकेट) को दो-आयामी अंतरिक्ष में पेश किया जाता है:



जहाँ a, b द्वि-आयामी अंतरिक्ष में प्रक्षेपण के लिए आनुभविक रूप से व्युत्पन्न आधार वैक्टर हैं, X, id और दिनांक तत्वों को हटाकर p से निर्मित मूल वेक्टर है, X0 का प्रक्षेपण परिणाम है, × वेक्टर उत्पाद है, () अदिश उत्पाद है।

एक नेटवर्क सत्र को विज़ुअलाइज़ करने में अगला कदम उत्तल आकृति बनाने वाले उसके सभी बिंदुओं को जोड़ना है। अंतिम चरण रंग के साथ परिणामी आकृति को भरना है। फिर अगले नेटवर्क सत्र के लिए सब कुछ दोहराया जाता है। परिणामी छवि तब प्राप्त की जाती है जब टर्मिनल द्वारा इंटरसेप्ट किए गए सभी नेटवर्क सत्रों के लिए छवि बनाने की प्रक्रिया का प्रदर्शन किया गया हो। इस छवि के परिवर्तनों या विभेदीकरण का संचय हमें एक वीडियो स्ट्रीम देता है। अंजीर में। 1 उन छवियों के उदाहरण दिखाता है जो सही ("सामान्य स्थिति") नेटवर्क व्यवहार को दर्शाती हैं।

पहले भाग का अंत।

आप सामग्री को कैसे पसंद करते हैं? लाभ डालें, टिप्पणियां लिखें और एक खुले पाठ के लिए पंजीकरण करें, जो 18 फरवरी को हमारे शिक्षक - सीसीएनए सुरक्षा में सिस्को अकादमी के प्रशिक्षक - एलेक्सी कुलिनिनशेव द्वारा आयोजित किया जाएगा।