| Resumo: | A segurança é uma das principais preocupações da comunidade de redes de computadores devido ao aumento de fluxos maliciosos. Atualmente, a criptografia está sendo amplamente usada como padrão para a troca de dados segura na Internet. No entanto, os atacantes também estão utilizando a criptografia em seus ataques para dificultar a detecção e tornar os ataques mais eficazes em seus propósitos maliciosos. Normalmente, antes de atacar uma rede ou um sistema de computação, para executar um ataque de negação de serviços, por exemplo, uma varredura de portas é executada para descobrir vulnerabilidades. Vários estudos abordaram os sistemas de detecção de intrusão (Intrusion Detection Systems - IDS) e os sistemas de prevenção de intrusão (IPS - Intrusion Prevention System) para detecção e prevenção de ataques, com base na análise de dados de fluxos ou pacotes.Entretanto, normalmente, esses métodos levam a um aumento na latência para encaminhar os dados, devido à necessidade de analisar fluxos ou pacotes antes de roteálos. Isso também pode aumentar a sobrecarga de rede quando fluxos ou pacotes são duplicados para serem analisados por um IDS externo. Por um lado, um IDS/IPS pode ser um gargalo na rede e pode não ser útil, especialmente se o tráfego for criptografado. Por outro lado, o novo paradigma chamado SDN (Software-Defined Networking) provê informações estatísticas sobre a rede que podem ser usadas para detectar atividades maliciosas. Assim, este trabalho apresenta uma abordagem para detectar atividade maliciosa criptografada em SDN, como varreduras de porta, negação de serviços e ataques genéricos, com base em dados de contadores dos swithes. Os resultados mostram que nossos métodos são eficazes na detecção de tais ataques, descobrindo anomalias nas atividades da rede, mesmo quando os fluxos ou pacotes são criptografados. Além disso, geram baixa sobrecarga de rede e necessitam pouco consumo de memória e processamento.
Security is one of the major concerns for the computer network community due to resource abuse and malicious flows intrusion. Nowadays, cryptography is being widely used as a standard for securing data exchange on the Internet. However, attackers are improving methods by using encryption over malicious packets or flows so that it may be more difficult to being detected. Furthermore, those attacks are more effective on their malicious purposes when cryptography is used. Usually, before a network or a system is attacked, to perform a denial of service, for example, a port scan is performed to discover vulnerabilities, such as open ports. Several studies have addressed Intrusion Detection Systems (IDS) and Intrusion Prevention Systems (IPS) methods for detecting and preventing attacks, based on flows or packet data analysis. However, typically those methods lead to an increase in switching latency, due to the need to analyze flows or packets before routing them.This may also increase network overhead when flows or packets are duplicated to be parsed by an external IDS. On the one hand, an IDS/IPS may be a bottleneck on the network and may not be useful, specially if traffic is encrypted. On the other hand, the new paradigm called Software-Defined Networking (SDN) provides statistical information about the network that may be used for detecting malicious activities. Hence, this work presents an approach for detecting encrypted malicious activity in SDN, such as port scan, denial of service and generic attacks, based on switch counters data. Thus, the developed methods are nonintrusive and lightweight, with low network overhead and low memory and processing power consumption. The results show that our methods are effective on detecting such attacks by discovering anomalies on the network activities, even when flows or packets are encrypted. |
