Detekce skenování portů na vysokorychlostních sítích
Loading...
Date
Authors
ORCID
Advisor
Referee
Mark
B
Journal Title
Journal ISSN
Volume Title
Publisher
Vysoké učení technické v Brně. Fakulta informačních technologií
Abstract
V této práci budu prezentovat efektivní metodu detekce TCP skenování portů ve vysokorychlostních sítích. Hlavní myšlenka této metody je zahození co největšího množství paketů tak aby to nemělo vliv na přesnost. Ukážu, že pomocí dvojice Bloom filtrů lze zahodit v průměru až 80\% ze všech paketů podílejících se na navázání TCP komunikace se zanedbatelným vlivem na přesnost. Toto výrazně redukuje požadavky na paměť a procesor. Dále budu prezentovat mnou navržený rozšíření algoritmu, které výrazně redukuje počet falešných hlášení způsobených absencí komunikace od serveru ke klientovi. Na závěr vyhodnotím algoritmus na zachycených vzorcích dat a online na sondě v síti CESNET. Výsledky ukáží, že tato metoda potřebuje méně než 2 MB paměti aby s velkou přesností vyhodnocovala provoz na vysokorychlostní síti. Díky malým paměťovým nárokům si tato metoda bez problémů vystačí s rychlou vyrovnávací pamětí většiny dnešních procesorů.
In this thesis, I present the method to efficiently detect TCP port scans in very high-speed links. The main idea of this method is to discard most of the handshake packets without loss in accuracy. With two Bloom filters that track active destinations and TCP handshakes, the algorithm can easily discard about 80\% of all handshake packets with negligible loss in accuracy. This significantly reduces both the memory requirements and CPU cost. Next, I present my own extension of this algorithm, which significantly reduces the number of false positives caused by the lack of communication from the server to the client. Finally, I evaluated this algorithm using packet traces and live traffic from CESNET . The result showed that this method requires less than 2 MB to accurately monitor very high-speed links, which perfectly fits in the cache memory of today's processors.
In this thesis, I present the method to efficiently detect TCP port scans in very high-speed links. The main idea of this method is to discard most of the handshake packets without loss in accuracy. With two Bloom filters that track active destinations and TCP handshakes, the algorithm can easily discard about 80\% of all handshake packets with negligible loss in accuracy. This significantly reduces both the memory requirements and CPU cost. Next, I present my own extension of this algorithm, which significantly reduces the number of false positives caused by the lack of communication from the server to the client. Finally, I evaluated this algorithm using packet traces and live traffic from CESNET . The result showed that this method requires less than 2 MB to accurately monitor very high-speed links, which perfectly fits in the cache memory of today's processors.
Description
Keywords
detekce anomálií, detekce skenování portů, detekce TCP skenování portů, detekce skenování portů na vysokorychlostních sítích, detekce TCP skenování portů na vysokorychlostních sítích, anomaly detection, portscan detection, TCP portscan detection, portscan detection in very high-speed links, TCP portscan detection in very high-speed links
Citation
KAPIČÁK, D. Detekce skenování portů na vysokorychlostních sítích [online]. Brno: Vysoké učení technické v Brně. Fakulta informačních technologií. 2014.
Document type
Document version
Date of access to the full text
Language of document
cs
Study field
Informační technologie
Comittee
prof. Ing. Miroslav Švéda, CSc. (předseda)
doc. Dr. Ing. Otto Fučík (místopředseda)
Ing. Petr Matoušek, Ph.D., M.A. (člen)
Ing. Aleš Smrčka, Ph.D. (člen)
Ing. Michal Španěl, Ph.D. (člen)
Date of acceptance
2014-06-18
Defence
Student nejprve prezentoval výsledky, kterých dosáhl v rámci své práce. Komise se poté seznámila s hodnocením vedoucího a posudkem oponenta práce. Student následně odpověděl na otázky oponenta a na další otázky přítomných. Komise se na základě posudku oponenta, hodnocení vedoucího, přednesené prezentace a odpovědí studenta na položené otázky rozhodla práci hodnotit stupněm " B ". Otázky u obhajoby: Na začátku kapitoly 4 uvádíte, že detekce skenerů portů je jednoduše možná díky sledování zdrojů s vysokým počtem neúspěšných spojení v krátkém času. Tahle myšlenka ale neplatí pro takzvané pomalé (slow) skenery portů, které právě limitují počet rychle po sobě vyzkoušených portů, aby se nejevili jako zdroje s tak vysokým počtem neúspěšných spojení. Je teda vytvořený detektor schopný detekovat i tyto pomalé skenery, případně je možné ho jednoduše upravit, aby to uměl? V závěru tvrdíte, že byste chtěl v budoucnu rozšířit detekci skenování portů i na UDP. Máte už nějakou představu, jak by to bylo možné realizovat, když UDP postrádá příznaky ACK i SYN, které v této práci na detekci využíváte?
Result of defence
práce byla úspěšně obhájena
Document licence
Standardní licenční smlouva - přístup k plnému textu bez omezení