ИССЛЕДОВАНИЕ БИОИНСПИРИРОВАННЫХ ПОДХОДОВ ДЛЯ ЗАЩИТЫ ОТ ИНФРАСТРУКТУРНЫХ АТАК НА ОСНОВЕ КОМПЛЕКСА ИМИТАЦИОННОГО МОДЕЛИРОВАНИЯ

Шоров Андрей Владимирович

научный сотрудник лаборатории Проблем компьютерной безопасности, Санкт-Петербургский институт информатики и автоматизации РАН (СПИИРАН), г. Санкт-Петербург

Е-mail: ashorov@comsec.spb.ru

Котенко Игорь Витальевич

заведующий лабораторией Проблем компьютерной безопасности, Санкт-Петербургский институт информатики и автоматизации РАН (СПИИРАН), г. Санкт-Петербург

Е-mail: ivkote@comsec.spb.ru

INVESTIGATION OF BIOINSPIRED APPROACHES FOR PROTECTION AGAINST INFASTRUCTURE ATTACKS BASED ON SIMULATION FRAMEWORK

Andrey Shorov

Researcher of Laboratory of Computer Security Problems, St. Petersburg Institute for Informatics and Automation of the Russian Academy of Sciences (SPIIRAS), Saint Petersburg

Igor Kotenko

Head of Laboratory of Computer Security Problems,

St. Petersburg Institute for Informatics and Automation of the Russian Academy of Sciences (SPIIRAS), Saint Petersburg

Работа выполняется при финансовой поддержке РФФИ, программы фундаментальных исследований ОНИТ РАН, Министерства образования и науки Российской Федерации (государственный контракт 11.519.11.4008), при частичной финансовой поддержке, осуществляемой в рамках проектов Евросоюза SecFutur и MASSIF, а также в рамках других проектов.

АННОТАЦИЯ

В работе предлагается использование имитационного моделирования для анализа и развития концепции механизма защиты от инфраструктурных атак на основе подхода «нервная система сети». Дано описание разработанного стенда моделирования, представлены результаты экспериментов. На основе полученных данных произведен анализ эффективности предлагаемого механизма защиты.

ABSTRACT

The work is devoted to the analysis of the network protection mechanism based on the bio-inspired approach «network nervous system». We describe the architecture of protection system based on the given mechanism, its operation algorithms and present results of the experiments. Using obtained results the efficiency analysis of the protection mechanism «nervous network system» against infrastructure attacks is implemented.

Ключевые слова: имитационное моделирование; инфраструктурные атаки; биоинспирированные подходы; DDoS; сетевые черви.

Keywords: simulation; infrastructure attacks; bio-inspired approaches; DDoS-attacks; computer worms.

Введение. В последнее время наблюдается тенденция к увеличению количества и мощности компьютерных атак на инфраструктуру вычислительных сетей. В 2010 году, суммарная мощность распределенных атак типа «отказ в обслуживании» (DDoS) значительно возросла, и преодолела барьер в 100 Гб/с. Регулярно появляется информация о различных вирусных эпидемиях, провоцируемых сетевыми червями. В то же время традиционные методы защиты не могут эффективно противодействовать постоянно возрастающему количеству и мощности инфраструктурных атак. Одним из перспективных методик к построению механизмов защиты компьютерных сетей, являются подходы, основанные на биологической метафоре. Одним из таких подходов к защите компьютерных сетей от инфраструктурных атак представляется подход «нервная система сети» [3].

Подход «Нервная система сети». Система защиты представляет собой два основных компонента — сервер «нервной системы сети» и узел «нервной системы сети». Сервер устанавливается в различных подсетях и реализует большую часть процессов обработки и анализа информации, а также координацию действий близлежащих сетевых устройств. Узлы служат для сбора, первоначальной обработки и передачи информации о состоянии сети серверам и работают на основе маршрутизаторов. Сервера, находящиеся в разных подсетях, обмениваются обработанной информацией о состоянии своих подсетей [3, 5].

Конкретный процесс по обеспечению защиты осуществляется локально, т.е. в каждом отдельном узле. Крупномасштабная кооперация выполняется для реализации защищенного обмена информацией как внутри домена (от маршрутизатора к маршрутизатору, от маршрутизатора к серверу), так и между доменами (от сервера к серверу). В этом случае информация автоматически распределяется по различным узлам сети. Своевременное получение информации позволяет более эффективно реагировать на различные внешние угрозы. Каждый узел состоит из функциональных блоков со стандартным интерфейсом передачи данных, что обеспечивает большую гибкость при динамическом обновлении и обслуживании узлов.

Стенд моделирования. На основе среды для имитационного моделирования OMNeT++, библиотек INET Framework, ReaSE [1, 2, 6], и разработанных собственных компонент, была реализована система моделирования инфраструктурных атак и механизмов защиты, включая механизм защиты на основе подхода «нервная система сети».

С помощью разработанной программной среды для имитационного моделирования построены модели распространения сетевого червя (в т. ч. модель уязвимого узла), DDoS-атак, модели базовых механизмов защиты на основе подходов Failed Connection(FC) [4], Virus Throttling(VT) [8], SIM [7], SAVE, модель распределенного механизма защиты на основе подхода «нервная система сети». При использовании подхода «нервная система сети», базовые механизмы защиты подключены к серверам «нервной системы сети».

Была сгенерирована сеть, состоящая из 3652 узлов, 10 из которых являются серверными узлами, в состав которых входят: один DNS-сервер, три веб-сервера и шесть почтовых серверов. 1119 узлов (около 30 % от общего количества) имеют уязвимости, необходимые для успешного осуществления распространения сетевого червя, эти же узлы выполняют DDoS-атаку, в случае ее моделирования.

Эксперименты. Для исследования механизмов защиты от инфраструктурных атак выполнялись следующие эксперименты. Для моделирования распространения сетевого червя, в компьютерной сети часть узлов имеют уязвимость, которую может эксплуатировать моделируемый червь.

При проведении экспериментов по защите от распространения сетевых червей оценивалось количество зараженных хостов при работе механизма защиты FC установленного на 100 % маршрутизаторов, механизма защиты VT, работу механизма защиты на основе подхода «нервная система сети» в кооперации с механизмом защиты FC и распространение сетевого червя без защиты. В случае координации механизма защиты FC «нервной системой сети», количество зараженных хостов снижается почти на 20 % относительно механизма защиты FC и примерно на 10 % относительно VT.

В экспериментах по моделированию DDoS-атак выполнялись атаки SYN Flooding. Оценивался объем трафика, поступающего на атакуемый узел во время выполнения DDoS-атаки без подмены IP-адреса отправителя в зависимости от модельного времени. Т. к. атака выполнялась без подмены IP-адреса, механизм защиты SAVEне смог детектировать вредоносные потоки. Во втором случае механизмы защиты SAVE и SIM были подключены к механизму «нервная система сети». С помощью механизма защиты SIM, который установлен на атакуемом сервере, определяются IP-адреса возможных источников атаки. «Нервная система сети» передавала эти IP-адреса механизму защиты SAVE, расположенному на маршрутизаторах, где он блокировал вредоносный трафик непосредственно у источников DDoS-атаки. Это позволило снизить объем атакующего трафика непосредственно у объекта атаки примерно на 70 %.

Заключение. Данная работа предлагает механизм защиты от инфраструктурных атак на основе биологической метафоры, названный «нервная система сети». Эксперименты показали эффективность работы предложенного механизма защиты «нервная система сети» в случае его кооперации с базовыми механизмами защиты. Важным моментом является возможность механизма защиты блокировать атакующий трафик у источников атаки.

Список литературы:

1. Котенко И.В., Коновалов А.М., Шоров А.В. Моделирование бот-сетей и механизмов защиты от них // Системы высокой доступности. — 2011. № 2, Т. 7. — С. 107—111.
2. Котенко И.В., Коновалов А.М., Шоров А.В. Агентно-ориентированное моделирование бот-сетей и механизмов защиты от них // Вопросы защиты информации. — 2011. № 3.— С. 24—29.
3. Котенко И.В., Шоров А.В., Нестерук Ф.Г. Анализ биоинспирированных подходов для защиты компьютерных систем и сетей // Труды СПИИРАН. 2011. Вып. 18. С. 19–73.
4. Chen S., Tang Y. Slowing Down Internet Worms // 24th International Conference on Distributed Computing Systems (ICDCS '04), IEEE Computer Society. — 2004.
5. Chen Y., Chen H. NeuroNet: An Adaptive Infrastructurefor Network Security // International Journal of Information, Intelligence and Knowledge. — 2009. Vol.1, No 2.
6. Gamer T., Scharf M. Realistic Simulation Environments for IP-based Networks // Proceedings of 1st International Workshop on OMNeT++. Marseille, France, 2008.
7. Peng T., Leckie C., Ramamohanarao K. Prevention from distributed denial of service attacks using history-based IP filtering // Proceeding of the 38th IEEE International Conference on Communications. — 2003. — P. 482—486.
8. Williamson M. Throttling Viruses: Restricting propagation to defeat malicious mobile code. Proceedings of ACSAC Security Conference. — Las Vegas, Nevada, 2002. — P. 61—68.