Atténuation des abus de protocole dans les plans de données programmables SDN

L'émergence du paradigme des réseaux définis par logiciel (SDN) a favorisé le développement de nouveaux mécanismes de surveillance des réseaux grâce à leur programmabilité. Le premier objectif de SDN est de centraliser l'intelligence du réseau au niveau d'un plan de contrôle avec un plan de données sans état (i.e., des éléments de réseau, des commutateurs). Par conséquent, les fonctions de surveillance du réseau nécessitent l'aide du contrôleur distant ou l'extension des protocoles de plan de données existants. Ces dernières années, des efforts ont été faits pour rendre le plan de données plus programmable et plus apte à supporter un traitement à état, ce qui permet de déployer des fonctions personnalisées et de décharger de nombreuses applications sur les éléments du réseau. Par exemple, la programmabilité du plan de données peut être assurée par le langage P4 qui définit la manière dont les paquets sont traités dans un pipeline d'un commutateur et qui prend en charge le traitement à état des paquets. Cependant, le langage P4 ne fournit pas d'abstractions à états intuitives pour modéliser les attaques comportementales. Il est donc nécessaire de reconsidérer des abstractions générales pour modéliser et surveiller un comportement complexe et à état dans le plan de données. Pour exploiter les opportunités offertes par un plan de données programmable, notamment le traitement des paquets à état et en temps réel, nous avons besoin de modèles suffisamment simples pour être déployés sur un commutateur programmable, tout en respectant les primitives existantes qui restent limitées, et en même temps, capables de capturer un comportement complexe. Parallèlement, les attaquants exploitent les vulnérabilités présentes dans les protocoles utilisés au cœur de l'Internet, tels que TCP et DNS. Cependant, les solutions proposées pour détecter ces attaques nécessitent de modifier l'implémentation des protocoles au niveau des hôtes finaux ou ont un impact négatif sur les flux bénins. Par conséquent, corriger les vulnérabilités à l'échelle de l'Internet nécessiterait beaucoup de temps pour le déploiement, comme dans le cas de DNSSEC. Dans cette thèse, nous abordons ces lacunes en définissant une fonction de sécurité (c'est-à-dire une approche de détection et d'atténuation des attaques) qui peut être déployée dans un plan de données programmable de SDN. Nous proposons une abstraction reposant sur une machine à états finis étendue (EFSM) pour modéliser le comportement d'une attaque. Pour détecter des attaques sophistiquées telles que les attaques à étapes multiples, nous l'étendons avec un réseau de Petri pour synchroniser la détection d'un ensemble d'étapes d'attaque. Nous présentons comment ces modèles peuvent être mappés aux primitives P4 afin de pouvoir détecter et agir contre une attaque au sein du réseau. Nous présentons trois attaques de la couche 3, la couche 4 et la couche 7 du modèle OSI (Open System Interconnection), à savoir l'abus du protocole ECN (Explicit Congestion Notification), l'attaque Optimisitic ACK et la récente attaque DNS par empoisonnement du cache. Notre approche ne nécessite pas de modifier l'implémentation du protocole au niveau des hôtes finaux. En outre, notre solution s'appuie sur des plans de données programmables, permettant la surveillance des flux et la réaction contre les attaques en temps réel au sein du réseau.The emergence of the Software-Defined Networking paradigm has supported the development of new network monitoring schemes thanks to network programmability. The first purpose of SDN is to centralize the network intelligence at the control plane with a stateless data plane (i.e., network elements, switches). As a result, the network monitoring functions require the help of the remote controller or the extension of existing data plane protocols. In recent years, efforts have been made to make the data plane more programmable and stateful, permitting customized functions deployment and offloading many applications to network elements (e.g., forwarding devices). For example, the data plane programmability can be enabled by the P4 language that defines how packets are processed in a switch pipeline and supports stateful packet processing. However, P4 does not provide intuitive stateful abstractions to model behavioral attacks. Therefore, rethinking on the general abstractions to model and track a complex and stateful behavior in the data plane is necessary. To exploit the opportunities offered by a programmable data plane, including stateful and real-time packet processing, we need models which are simple enough to be deployed on a programmable switch with respect to the existing primitives that remain limited and, at the same time, capable of capturing a complex behavior.Meantime, attackers exploit vulnerabilities present in protocols used in the core of the Internet, such as TCP and DNS. However, the proposed solutions to detect these attacks require modifying the protocol implementation at the end-hosts or having a negative impact on benign flows. Therefore, patching at the scale of the Internet would require much time for deployment, such as in the case of DNSSEC. In this thesis, we address these shortcomings by designing a security function (i.e., an attack mitigation approach) that can be deployed in an SDN programmable data plane. We propose an abstraction based on an Extended Finite State Machine (EFSM) to model an attack behavior. To detect sophisticated attacks such as multi-step attacks, we extend it with Petri Net to synchronize the detection of a set of attack steps. We present how these models can be mapped to P4 primitives so that we can detect and react against an attack within the network. We present three attacks from Layer-3, Layer-4, and Layer-7 of the OSI model, namely the ECN protocol abuse, the Optimistic ACK attack, and the recent DNS multi-step cache poisoning attack. Our approach does not require modifying protocol implementation at the end hosts. Besides, our solution leverages programmable data planes, enabling flow tracking and reaction against attacks in real-time within the network