Detection and mitigation of cyber attacks at local area networks

Bakalářská práce je zaměřena na detekci a mitigaci záplavových útoků v lokálních sítích. Práce se dá rozdělit na dvě části. V teoretické části jsou rozebrány nejprve záplavové útoky. Dále je do hloubky probrána problematika detekce útoků, a to včetně metody detekce. Následně probíhá rozdělení detekčních nástrojů podle umístění a jsou uvedeny příklady detekčních nástrojů. Poslední teoretická část je věnována způsobům mapování sítě a nástrojům pro detekci topologie. V praktické části probíhá návrh IDS a zkušební sítě. Síť se skládá ze tří koncových zařízení: IDS, oběti a útočníka. K propojení všech zařízení slouží směrovač Mikrotik. IDS byl implementován v jazyce Python a je složen z jednotlivých modulů, které rozšiřují jeho funkce. Nejdůležitějším modulem je detekční modul, který obsahuje detekční metody proti SYN Flood, UDP Flood, ICMP Flood útokům a jednu univerzální komplexní metodu proti všem záplavovým útokům. Modul ARP Scan umožnil IDS mapovat síť a pomocí ARP dotazů odhalit přítomnost koncových zařízení v síti. Učící modul ulehčil nastavování pravidel jednotlivých detekčním metod, a to tak, že po určitou dobu sleduje provoz sítě. Ze zjištěných dat následně určí vhodné hodnoty pravidel. SSH modul poskytl IDS možnost na útoky aktivně reagovat a odpojit útočníka od zbytku sítě. ARP Scan využívá taktéž SSH modul k zjišťování informací o hostech. IDS prošlo testováním ve virtuálním i skutečném prostředí. Z výsledků vyplývá, že vytvořené detekční metody fungují a IDS dokáže v rozumném čase útok zastavit. Testem prošel i ARP Scan, který dokázal nové hosty objevit v průměru již při prvním průchodu. Sledován byl i vliv IDS na komunikaci a bylo zjištěno, že vliv je minimální.The bachelor thesis is focused on the detection and mitigation of flood attacks in local area networks. The thesis can be divided into two parts. In the theoretical part, first flooding attacks are described. Then, the problem of attack detection is discussed in depth, including the implemented detection methods. Subsequently, the classification of detection tools by location is discussed and examples of detection tools are given. The last theoretical section is devoted to network mapping methods and topology detection tools. In the practical part, the design of the IDS and the test network is discussed. The network consists of three end devices namely: the IDS, the victim and the attacker. A Mikrotik router is used to ensure connectivity between all the devices. The IDS has been implemented in Python and is composed of individual modules that extend its functionality. The most important module is the detection module, which contains detection methods against SYN Flood, UDP Flood, ICMP Flood attacks and one universal comprehensive method against all flood attacks. The ARP Scan module allowed the IDS to map the network and use ARP queries to detect the presence of endpoint devices in the network. The learning module made it easier to set up rules for each detection method by monitoring network traffic over a period of time. It then determines appropriate rule values from the detected data. The SSH module provided IDS with the ability to proactively respond to attacks and disconnect the attacker from the rest of the network. ARP Scans also use the SSH module to discover information about guests. The IDS has been tested in both virtual and real environments. The results show that the developed detection methods work and the IDS can stop the attack in a reasonable time. ARP Scanning was also tested and was able to detect new guests on average in the first pass. The effect of IDS on communication was also monitored and found to be minimal.