1 / 50

フロー技術を活用した ネットワークセキュリティの研究

フロー技術を活用した ネットワークセキュリティの研究. 後藤滋樹，下田晃弘 グローバル COE プログラム アンビエント SoC 教育研究の国際拠点 （ 早稲田大学　理工学術院）. 本資料の構成.

ted
Download Presentation

フロー技術を活用した ネットワークセキュリティの研究

An Image/Link below is provided (as is) to download presentation Download Policy: Content on the Website is provided to you AS IS for your information and personal use and may not be sold / licensed / shared on other websites without getting consent from its author. Content is provided to you AS IS for your information and personal use only. Download presentation by click this link. While downloading, if for some reason you are not able to download a presentation, the publisher may have deleted the file from their server. During download, if you can't get a presentation, the file might be deleted by the publisher.

E N D

Presentation Transcript

  1. フロー技術を活用したネットワークセキュリティの研究フロー技術を活用したネットワークセキュリティの研究 後藤滋樹，下田晃弘グローバルCOEプログラムアンビエントSoC教育研究の国際拠点（早稲田大学　理工学術院）

  2. 本資料の構成

  3. 概要　インターネットのパケットを個別に観測するのではなく、フローの単位で分析することは従来から広く行なわれてきた。ところで意味のある観測をしようとすれば多量のデータを対象とする必要がある。ネットワークが広帯域になると観測するべきデータが膨大になり分析が難しくなる。これまでにパケットのサンプリング方法が提案されているが、どの程度まで比率を下げることができるか、定量的な評価をするのが難しかった。ここで紹介する研究では、トラフィックの傾向を把握するためのサンプリングの方法を検討する。これが第一の話題である。概要　インターネットのパケットを個別に観測するのではなく、フローの単位で分析することは従来から広く行なわれてきた。ところで意味のある観測をしようとすれば多量のデータを対象とする必要がある。ネットワークが広帯域になると観測するべきデータが膨大になり分析が難しくなる。これまでにパケットのサンプリング方法が提案されているが、どの程度まで比率を下げることができるか、定量的な評価をするのが難しかった。ここで紹介する研究では、トラフィックの傾向を把握するためのサンプリングの方法を検討する。これが第一の話題である。 次にセキュリティの話題に移る。ネットワークの観測をすると、不思議なことに「使用されていない筈のアドレス」を宛先とするパケットが見つかる。この原因の多くはマルウェアつまりウィルスの拡散、DoSアタックの影響、ボットの活動などである。このような宛先の不明なパケットを捕捉して分析することはセキュリティの面で有意義である。ここでは仮想的なセンサー(マシン)を実現して多量の「宛先の不明なパケット」を分析する方法を紹介する。さらに「宛先の不明なパケット」を受動的に受信して分析するだけではなく、パケットに意図的に応答する技術を紹介する。これは仮想的なハニーポットを実現するものである。応答を返すことにより、セキュリティの分析をさらに進めることができる。

  4. OpenFlow (GENI) Press Releases National LambdaRail (NLR) Deploys New, Wide-Area Backbone Network for National Science Foundation-Funded GENI "Future Internets" Project August 17, 2010 http://www.nlr.net/

  5. Open Flow Demo at SC 08 http://jpnoc.net/OpenFlow-DEMO.m4v movie by Jin Tanaka

  6. NetFPGA-1G Hardware Xilinx Virtex-2 Pro FPGA PCI Host Interface SRAM DRAM 4 * Gigabit Ethernet ports

  7. Anagran FR-1000 Caspian Networks NEC NetFPGA

  8. IPパケットはdatagram(バラバラ) • Analyze packet by packet • Limitation of simple packet analysis Malicious activitiesin normal packets • DoS (Denial of Service) attack • Port Scan

  9. フローにまとめる Protocol Machine • Flow — a sequence of packets • Source and destination IP address (or AS#) • Port numbers (application) • Valid flow and Invalid flow • A flow is classified by the protocol machine.

  10. フローにまとめるProtocol Machine • The original protocol machine for TCP • Defined in RFC 793 • Deterministic automaton • Our new extended protocol machine • Non-deterministic automaton • It covers packet losses and duplicated packets.

  11. 1. 広帯域ネットワークの利用増→　測定が難しくなる • 対象とするデータ量が膨大になる例：早稲田大学のSINET対外接続は10Gbpsもし使用量１.６Gbps＝０.２ＧＢ/sec としても１時間のデータ（６０秒×６０分）　７２０ＧＢ • 個々のパケットではなくフローとして把握 • サンプリング（1）, フィルタリング（2） • できるだけ即時に処理（2） • 多地点のデータを分散管理（2）

  12. サンプリングによる測定 • T. Mori, T. Takine, J. Pan, R. Kawahara. M. Uchida, and S. Goto, Identifying Heavy-Hitter Flows From Sampled Flow Statistics,IEICE Transactions on Communications, Vol. E90-B, No.11, pp. 3061--3072, Nov. 2007. • 電子情報通信学会　論文賞２００９年５月２９日　授賞式 • 電気通信普及財団　テレコムシステム技術賞２０１０年３月１５日　授賞式

  13. 電気通信普及財団賞 ネットワーク内を流れるトラフィックをチェックして、長時間大量のパケットを流すフローを識別することは重要な問題である。この研究は、すべてのパケットではなく、サンプリングにより高精度且つスケーラブルにそのようなフローを特定する理論的手法を確立し、実トラフィックデータを用いて実証したもので、実社会で求められている優れた仕事である。

  14. 1. サンプリングによるエレファントフローの特定 • エレファントフロー とは「巨大なフロー 」 • P2Pによって発生したフロー • 今日では巨大フローは一般ユーザーが発生する • CATV,DSL, FTTH 加入者 • 帯域の消費が著しい • ネットワークによらない普遍的な現象(2:8の法則) • エレファントフローを検出・制御すると • 制御対象とするフロー数が少なくて済む • 制御する効果が大きい

  15. 分析の対象とするデータ　 • OC48c パケットトレース(PMA project, NLANR) • N=10,000,000 (約2分の片道トラフィック) • 総フロー数: 737,800 • エレファントフロー数 (Xj >= 10,000) : 167 • エレファントフローのトラフィック量占有率 : 59.3% Pr[Xj = x]

  16. パケットサンプリングとフロー計測 • パケットサンプリング • Nパケットに1パケットをサンプルする • フロー計測のコストを削減することが目的 • メモリ消費量、アクセススピード • 超高速ネットワークに対するスケーラビリティを提供 • 標準化、実装が進んでいる技術 • サンプリングにより、フロー統計情報の一部は失われる

  17. 課題とアプローチ: • 課題 • サンプルしたパケットからエレファントフローを特定する  エレファントフローを特定するためにはパケットカウントの閾値をどのように定めれば良いか？ • 本研究のアプローチ  ベイズの定理を用いる

  18. ベイズの定理 フローj:母集団におけるパケット数が Xj=x である条件 のもとでサンプルしたパケット数が Yj=yである確率 (超幾何分布) フローj: サンプルしたパケット数が Yj≧yである条件の もとで母集団におけるパケット数が Xj≧xである確率 （i.e., フローｊがエレファントフローである確率） (A) (B)

  19. False probabilities: フローjについてサンプルしたパケット数が　　　　　　　 を満たしたらエレファントフローであると特定する • False positive ratio:= Pr [特定したフローがエレファントでない]= • False negative ratio:= Pr [エレファントフローが特定されない]== 誤って検出 見逃し

  20. False率のトレードオフ （事前分布はIPCL) f=1/1,000 f=1/10,000 誤検出 見逃し サンプリングレートが低いほど、トレードオフが顕著

  21. 応用例:　誤検出（ＮＰＲ）を小さくする (≦ 0.05) f=1/1,000 f=1/10,000 False positive小  特定したフローは高確率でエレファント ただし、未検出のエレファントフローが増える

  22. 事前分布と閾値 • 閾値　　の算出には，事前分布の情報が必要 • 事前分布の情報をどのように得るか？ • 同一ネットワークの近い時間帯でのデータを使う - 予め，測定しておく • サンプルしたフローの分布から、元の分布を推定 - Yjの分布からXjの分布を推定 [Duffield,SIGCOMM’03] • 分布の普遍的な性質を利用する • 多くの場合，Xj の分布は形状母数≒1.0 のパレート分布で近似可能 • 算出された閾値は、広い範囲の分布に対して同じ値

  23. 様々な事前分布： • 経験分布 (計測データ) • OC48c link [PMA, NLANR] • GbE link [PMA, NLANR] • 理論分布(パレート分布) IPCL: PMA Project, NLANR IPKS:Indianapolis—Kansas City CESCA: RedIRIS, beta=0.5 beta=0.75 Pr[Xj > x] beta=1.0 beta=1.25 beta=1.5 x

  24. 評価結果: false率 false-positive false-negative false-positive false-negative f=1/1,000 f=1/10,000 経験分布 パレート分布

  25. 評価結果: 閾値 min s.t. FPR< 0.05 経験分布 パレート分布

  26. エレファントフロー特定の応用例 • PD (Priority discarding), WFQ (Waited Fair Queueing) 等のキュースケジューリングアルゴリズムと併用 • ネットワーク輻輳時に、帯域を支配しているエレファントフローに属するパケットを優先的に廃棄/低優先キューに割り当て • CSFQ (Core Stateless Fair Queueing)等のスケーラブルなネットワーク制御アーキテクチャに適合 • エッジノードはエレファントフローマーキング。コアノードはマークを元に diffserv 的な制御を実施。 • 極端なエレファントフローの発生を検出したら、迅速にオペレータに通知する (anomaly detection)

  27. 1.のまとめ • サンプルしたパケットからエレファントフローを特定する方法を提案し、実データにより評価した • アイディアの要点： フロー毎にサンプルされるパケットカウントと、そのフローがエレファントフローである確率の関係を事前に算出　 • ベイズの定理を利用。事前分布の情報が必要。 • 実データおよび理論分布を用い、提案手法の有効性を示した • 本手法で計算した閾値　　は、他のネットワークに対しても有効 (非一様性の普遍性より)

  28. 2.1 仮想センサ（Dark IP） 実センサ Block all incoming packets Anomaly packets logging No response Attacker Firewall PC Sensor Box (Dark IP) Pass through all incomming packets

  29. 仮想センサ Normal Servers Normal Hosts Mutual Access No service offered One-way Access Attackers Unused IP space Netflow packets Virtual Sensors

  30. Netflow AS 1000 AS 2000 Host A Host B Fa 1/0 Fa 0/0 ＩＰ Y.Y.Y.Y /24 port 20 ＩＰ X.X.X.X /24 port 23221 export Netflow v5 record

  31. フローから仮想センサを抽出 Netflow Router virtual sensors candidates virtual sensors Anomaly Packets Collector Virtual Sensor Detection Algorithm Netflow Database Flow Attributes Results Output Flow-tools

  32. ヒューリスティックなアルゴリズム 状態遷移の詳細な説明は割愛 1 Not seen or Not communicating Virtual Sensor Candidates 3 4 5 2 8 6 Senders List (cache) Virtual Sensors 7

  33. 実証実験 Wide area network Anomaly packets A worm infected host Scanning packets Intermediate Router (Target of flow-observation) An malicious host Autonomous System

  34. 実センサと仮想センサPort 135/tcp

  35. ２．１　まとめ • 仮想センサ（Virtual Dark IP）はフロー情報から仮想センサを抽出する提案 • 物理的な実センサの代りに使える • 仮想センサは、多数のセンサを実現することができる

  36. ２．２　仮想ハニーポット Purpose Detect anomaly packet  DDoS, scanning… X logging server ? Purpose Inspect detail of attacks - targeted vulnerability - malware/worm species honeypot • Passive:　実センサ、仮想センサ • Stealth observation  to detect indiscriminative attacks • Network telescopes (CAIDA, 2004) • Active: Honeypots • Honeypots: definitions and value of honeypots (2002)

  37. 仮想ハニーポット（DarkPots） Analyzers emulated response list of unused-IPs Forwarder Vacancy checker DarkPots System Gateway Router (ACLs deployed) Enterprise / Campus Network The Internet mirroring • Vacancy Checker • Forwarder • Analyzer

  38. 構成要素１： Vacancy Checker Vacancy checker • Locate unused IP address space • Packet capturing • Heuristic method described in our earlier study. • inactive for certain period  marked as unused • detect any activity  marked as used • Possibly false positive • Firewall configuration of the gateway (ACLs) • Monitoring both inside and outside gateway, • Estimate which packet is blocked or passed the gateway. • A blocked IP address is used for monitoring • apparently unused from the Internet side

  39. 構成要素２： Forwarder List A for analyzer A to analyzers Vacancy checker unused-IPs list Unused IPs List B for analyzer B Forwarder List C for analyzer C Gateway Router • Function • Monitors outside of the gateway traffic • Allocation of unused IP addresses list • Each lists corresponds to one of the analyzers. • Flexible allocation patterns (e.g. continuous or random patterns) • Forward a packet to an analyzer • overwrite destination MAC address Enterprise / Campus Network

  40. 構成要素３： Analyzer Analyzers response Forwarder • Analyzers for various roles. • sensor / responder / honeypot • any service is capable • Easy to implement • A service should have a configuration for binding to any Interface (e.g. 0.0.0.0) • Setup sub-interfaces : eth0:1, eth0:2, ..... eth0:n • Assign allocated unused IP addresses • Response packets : directly routed to the Internet Gateway Router The Internet

  41. 処理の手順：　DarkPots #4 forwarding to analyzer # 5 responding #3 filter with unused-IP address list Forwarder #2 mirroring blocked by firewall destination is inactive #1 attacks × × Gateway The Internet Enterprise / Campus Network

  42. ３種類の Analyzer syn A: Passive Sensor receive only for logging B: Reflector respond to SYN flagged packet but other packets will not be sent. creates TCP half connection C: Honeypot Installed Npenthes software as one of the case-study of honeypots. logging no response iptables Passive Sensor syn syn/ack reflector syn/ack response iptables Reflector syn honeypot service honeypot response iptables Honeypot

  43. Unused-IP address allocation passive reflector honeypot A: Passive Sensors B: Reflector C: Honeypots campus network : A.B.C.D/16 x-axis :3rd octets of IPv4 y-axis :4th octets of IPv4 • Assign unused-IP address to each analyzer. • Random selection without duplication. • 2560 IPs assigned for each analyzers.

  44. 3つのAnalyserで観測されたIPアドレス passive reflector honeypot ほぼ同数 The number of source IP address (unique hosts) on passive sensors is slightly larger than others.

  45. C.D.F analysis on# of received packets per attacker Passive Reflector HoneyPot 60%of attackers sent less than 3 packets in passive mode (A) 90% of attackers sent out more than 4–8 packets in the active (B) and interactive modes (C).

  46. TCPフラグの分析BにおけるFIN/PSH/ACKが特徴的 passive reflector honeypot too many duplicated packets

  47. Mode Cにおける観測top 7 heavy-hitters ある時間帯に活動、多くの国に分布している

  48. The second experiment: ランダムアドレスと連続アドレスの比較 random continuous x-axis :4th octets of IPv4 y-axis :3rd octets of IPv4 • Two honeypot analyzers in parallel • random address block • continuous address block • Assign 2,560 IP addresses each • Purpose : inspecting the effect of allocation patterns

  49. 連続アドレスは攻撃されやすい分散アドレスは観測に適している連続アドレスは攻撃されやすい分散アドレスは観測に適している Continuous Random マルウェアの名前はAvastによる attack count Continuous Random

  50. ２．２　まとめ Akihiro Shimoda, BEST student paper award, SAINT 2010. • 稼働しているネットワークに影響が少ない • ミラーポートを利用してデータを収集 • 未使用のIPアドレスを活用して測定に用いる • パケット収集とファイアウオール情報の照合 • 大規模なネットワークに適用可能 • 数種類の分析手法を同時に走行可能 • 既存手法と新手法との比較が容易 • 観測対象とするＩＰアドレスを自由に選択

More Related