Sistema de predição de ataques de negação de serviço distribuídos

Orientadora: Profa. Dra. Michele Nogueira LimaDissertação (mestrado) - Universidade Federal do Paraná, Setor de Ciências Exatas, Programa de Pós-Graduação em Informática. Defesa : Curitiba, 23/03/2018Inclui referências: p.50-52Área de concentração: Ciência da ComputaçãoResumo: Os ataques de Negação de Serviço Distribuídos (Distributed Denial of Service - DDoS) crescem significativamente em volume, sofisticação e impacto. Exemplos são os ataques DDoS contra a empresa francesa OVN e o provedor de nomes DYN, os quais atingiram volumes inéditos de tráfego malicioso. Em geral, esses ataques são detectados ou mitigados apenas quando se encontram em estágios avançados. Até então, estudos apresentam abordagens e técnicas focadas principalmente na detecção e mitigação desses ataques. Recentemente surgiram pesquisas que expõem artefatos focados na predição de ataques DDoS por meio de redes neurais atuando na predição da matriz de tráfego; ou através de ferramentas estatísticas, como exemplo, Markov que predizem as etapas de um ataque, ou ainda avaliam a estabilidade de séries temporais aplicando ARIMA, entre outras. Tais abordagens requerem o treinamento prévio das redes neurais ou dos respectivos algoritmos, assim sendo, exigem histórico de ataques DDoS no fluxo da rede ou assinaturas dos ataques. Desta forma, as abordagens expostas ficam limitadas a ataques previamente conhecidos. Em geral, a sobrecarga da vítima consequente de um ataque DDoS ocorre em um intervalo de tempo muito curto (milisegundos). Assim, quando as técnicas propostas pelas abordagens anteriores conseguem identificar a aproximação de um ataque na rede, a sobrecarga já está em andamento e portanto muito próxima, resultando na indisponibilidade dos serviços. Diferente de outros trabalhos, este estudo defende o prognóstico precoce de ataques DDoS a fim de evitar custos e perdas provenientes do ataque. Este trabalho apresenta o STARK, um sistema autoadaptativo de predição de ataques DDoS, que identifica indícios do ataque na rede antes deste alcançar estágios avançados. Com base na teoria da metaestabilidade, o sistema STARK provê um aprendizado estatístico não supervisionado e identifica a iminência de ataques DDoS. Isso implica em dizer que o sistema não necessita de conhecimento prévio das características do fluxo da rede, de assinaturas do ataques DDoS ou de treinamento prévio de algoritmos para que possa predizer o ataque. A avaliação do sistema STARK segue uma abordagem orientada a traços, em que três bases de dados são utilizadas. Dessa forma, são extraídas características dessas bases de dados com a finalidade de submeter aos indicadores estatísticos e assim avaliar a tendência de comportamento dos dados. De acordo com a tendência exposta é possível identificar a aproximação de uma transição crítica, neste caso a iminência de um ataque DDoS. Nas avaliações realizadas, com os diferentes traços, o sistema STARK demonstra capacidade de predizer os respectivos ataques DDoS com minutos ou horas de antecedência. Palavras-chave: Ataques, DDoS, Metaestabilidade, Predição, Segurança de redes.Abstract: Distributed Denial of Service (DDoS) attacks growsignificantly in volume, sophistication and impact. Examples are the DDoS attacks against the OVN French company and the DYN name provider which reached unprecedented volumes of malicious traffic in 2016. In general, these attacks are detected or mitigated only when they are in advanced stages. So far the studies show approaches and techniques focused mainly on the detection and mitigation of these attacks. Recently researches have emerged which expose artifacts focused on the DDoS attack prediction by means of neural networks acting on the traffic matrix prediction; or through statistical tools, for example, Markov's which predict the steps of an attack, or still evaluate the stability of temporal series applying ARIMA, among others. Such approaches require the prior training of neural networks or the respective algorithms. Hence, they demand DDoS attack history in the network flow or attack subscriptions. The exposed approaches are limited to previously known attacks. In general, the overload of a DDoS attack victim occurs in a very short interval time (milliseconds). Thus, when the proposed techniques by the previous approaches can identify the closeness of an attack in the network, the overload is already in progress and so very close, resulting in the service unavailability. Different from other works, this study defends the early prognosis of DDoS attacks in order to avoid costs and losses from the attack. This work presents STARK, a self-adaptable system for DDoS attack prediction, which identifies attack evidence in the network before it reaches advanced stages. Based on the metastability theory, the STARK system provides an unsupervised statistical learning and identifies the DDoS attack imminence. That implies saying the system does not need prior knowledge of the network flow, of DDoS attack subscriptions or prior training of algorithms to predict the attack. The STARK system evaluation follows trace-driven approach in which three datasets are used. Hence, features are extracted from these datasets in order to submit to the statistical indicators and evaluate the data behavior trends. According to the trends in the dataset behavior is possible to identify the closeness of a critical transition, in this case the DDoS attack imminence. On the carried out evaluations, with different traces, the STARK system shows capability of predicting the respective DDoS attacks in minutes or hours in advance. Keywords: Attacks, DDoS, Metastability, Prediction, Network Security