Denial of service attacks detection using synchronization packets analysis

Jedna od najvećih sigurnosnih prijetnji na globalnoj mreži je nedostupnost resursa uzrokovana napadom uskraćivanja usluge. Velik broj istraživanja se temelji na mogućnostima unaprijeđenja metoda otkrivanja i prevencije napada uskraćivanja usluga na strani poslužitelja žrtve ili na strani izvora napada. Bloomov filter je podatkovno učinkovita struktura koja se koristi u području prepoznavanja uzoraka. Bloomov filter se koristi u mrežnim aplikacijama za detaljnu provjeru sadržaja zaglavlja paketa tražeći unaprijed očekivanje nizove znakova s ciljem otkrivanja pripadnosti. U sustavima za otkrivanje kompromitiranih aktivnosti efikasnost algoritama za raspoznavanje uzoraka je izuzetno važna za ispravno otkrivanje pripadnih parova paketa. Složenost algoritma značajno utječe na rezultate otkrivanja. U ovom radu izrađena je napredna metoda pronalaska pripadnih parova paketa primjenjiva za $SACK^2$ algoritam za otkrivanje napada. Teorijskom analizom određena je vjerojatnost pojave greške u vidu lažnog pozitivnog rezultata prilikom otkrivanja kao i zahtjevi za povećanje memorijskih resursa. Predloženi novi algoritam značajno umanjuje navedenu grešku u odnosu na objavljenu grešku u prijašnjim objavljenim radovima. Rezultati izvršenih vrednovanja pokazuju da povećana složenost novo predložene DCBF podatkovne strukture ne utječe na učinkovitost implementacije u okolini ugrađenih sustava koji imaju ograničene resurse. Eksperimentalno vrednovanje napravljeno je uporabom simulacija temeljenih na stvarnom mrežnom prometu izlaznog linka te je u konačnici dokazano da DCBF podatkovna struktura značajno umanjuje grešku u vidu lažnog pozitivnog rezultata što ujedno i utječe na donošenje odluke o napadu.One of the biggest security threats on the global network is the unavailability of resources caused by a DoS (denial-of-service) attack. Protection from such attacks is carried out by taking appropriate measures such as prevention, detection and reaction to attacks. The algorithms used in detecting DoS attacks are classified according to both the place and method of detection applied. The problem which may arise in using the algorithms in detecting DoS attacks is the possibility of reaching a wrong decision about the existence of the attack, which may be influenced by the local configuration. The thesis will contain the analyses of the detection methods based on packets classification on the router. The possibility to improve the algorithm by diminishing the probability of making mistakes related to reaching decisions about the existence of the attack will be considered. The independence on the local configuration is achieved through the implementation on the embedded system