Detecção de ataques DDoS baseados em amplificação NTP inteiramente no plano de dados

• Autor(a) principal: Cordoni, Roberto Oppermann
• Data de Publicação: 2018
• Tipo de documento: Trabalho de conclusão de curso
• Idioma: por
• Título da fonte: Repositório Institucional da UFRGS
• Texto Completo: http://hdl.handle.net/10183/175035
• topic: Redes : Computadores; Computer networks; Software-defined networking; P4; DDoS

Os ataques de negação de serviço distribuídos representam uma grande parcela dentre o total de ataques cibernéticos reportados nos últimos anos. Um tipo de ataque em especial tem chamado a atenção dos administradores de rede por ser substancialmente danoso: os ataques DDoS baseados em amplificação. Ao lançar um ataque desse tipo, atacantes conseguem atingir taxas de dados muito altas, tirando proveito de protocolos como NTP, DNS e SSDP. Atualmente, provedores de serviço utilizam técnicas baseadas em Net- Flow e sFlow para detectar tais ameaças. Contudo, tais táticas possuem duas limitações principais: alto custo computacional para processamento em software dos pacotes que transitam pelos dispositivos de encaminhamento; e elevado tempo de reação a um ataque, devido ao distanciamento entre os sensores e os coletores de dados. Buscando eliminar as barreiras impostas pelo processamento feito fora dos dispositivos, uma nova geração de equipamentos de encaminhamento tem sido desenvolvida. Esses equipamentos conseguem trabalhar com altas taxas de dados e podem ser programados através de uma linguagem, denominada P4, que permite especificar como pacotes devem ser analisados e processados. Neste trabalho, propõe-se dois mecanismos, implementados em P4, para detecção de ataques de negação de serviço baseados em amplificação que tiram proveito do protocolo NTP. O primeiro desses mecanismos atua nas proximidades do servidor usado como amplificador, enquanto o segundo encontra-se localizado nas imediações da vítima do ataque. A acurácia e a eficiência desses mecanismos foram avaliadas através de três métricas: falsos negativos, falsos positivos e tempo de detecção. De maneira geral, ambos mecanismos atingem melhores resultados quando o ataque possui uma “assinatura” muito agressiva e, através de experimentos realizados, foi identificado que quanto mais intenso o ataque, menor o número de falsos positivos observados. Por fim, foi apresentada uma comparação demonstrando que o tempo de detecção em P4 é menor do que o tempo necessário para uma possível implementação desse mecanismo em OpenFlow convencional.