Improving Cybersecurity Through Situational Awareness

RNDr. Martin Laštovička

Doctoral thesis

Abstract:

Rozsáhlé sítě skládající se z tisíců připojených zařízení jsou jako živé organismy, neustále se mění a vyvíjejí. Orientace v takovém prostředí a reakce na nově vznikající bezpečnostní hrozby je tak pro lidského správce náročná. S touto motivací si práce klade za cíl nalézt nové přístupy, které pomohou budovat a udržovat kybernetické situační povědomí (angl. Cyber Situational Awareness) pomocí pasivního monitorování sítě. Práce řeší současné výzvy budování situačního povědomí v oblastech dosažitelnosti, včasnosti a heterogenity sítě, které brání jeho praktickému nasazení. Abychom dosáhli situačního povědomí, musíme využít data z více zdrojů a začlenit je do dlouhodobého modelu prostředí. V této práci navrhujeme datový model, který reflektuje kybernetické prostředí a definuje jeho prvky a vztahy mezi nimi. Tento model jsme konzultovali se specialisty na kybernetickou bezpečnost, abychom uspokojili potřeby operačního nasazení a zajistili jeho dosažitelnost. Včasnost dosažení situačního povědomí řešíme pomocí monitorování síťových toků v reálném čase a dokládáme ji případovými studiemi ukazujícími životaschopnost našeho přístupu. Abychom porozuměli situaci ve velkých heterogenních sítích, navrhujeme novou metodu vytváření otisků zařízení pomocí strojového učení ke klasifikaci provozu na základě vybraných parametrů síťových toků závisejících výhradně na operačním systému zařízení. Tato klasifikace je doplněna analýzou charakteristik z aplikační vrstvy za účelem zpřesnění výsledků s důrazem na identifikaci zařízení v šifrovaném provozu. Prokázali jsme, že náš přístup funguje ve velkých sítích a dokáže se vyrovnat s šifrováním provozu a přijímáním nových síťových protokolů. Naše teoretické pokroky jsme implementovali do open-source softwaru pro budování situačního povědomí a předvedli jeho aplikace v oblasti kybernetické bezpečnosti. Pomocí našeho softwaru jsme provedli empirickou studii o odhalování zranitelností v síti Masarykovy univerzity. Software průběžně vyhodnocuje otisky zařízení v síti a mapuje je na známé zranitelnosti. Prokázali jsme, že pasivní metody dosažení situačního povědomí fungují dobře v neznámém prostředí bez interference se sítí nebo zařízeními v síti. Naše výsledky jsou relevantní pro výzkumné pracovníky v oblasti kyberbezpečnosti a odborníky, kteří se zajímají o situační povědomí a starají se o kybernetickou bezpečnost své organizace.

Abstract:

Large-scale networks consisting of thousands of connected devices are like living organisms, constantly changing and evolving. It is challenging for a human administrator to orient in such an environment and react to emerging security threats. With such motivation, this thesis aims to find novel approaches helping to build and maintain Cyber Situational Awareness (CSA) using network monitoring. We address the current CSA challenges of attainability, timeliness, and network heterogeneity that hamstring practical CSA deployment. To build CSA, we need to fuse data from multiple sources and fit them into a long-term environment model. We propose a data model that reflects the cyber environment and defines its data elements and relations. We reviewed the model with cybersecurity specialists to satisfy operational deployment needs and ensure its attainability. We address the timeliness of achieving CSA by our work towards real-time network flow monitoring and present case studies showing its viability for situational awareness. To understand the situation in large heterogeneous networks, we propose a novel method of device fingerprinting using machine learning to classify traffic based on selected flow features depending solely on the device's operating system. This classification is complemented with analysis of application layer characteristics to refine the results, emphasizing device identification in encrypted traffic. We showed that our approach works well in large-scale networks and can deal with traffic encryption and the adoption of new traffic protocols. We implemented our theoretical advances into an open-source software for CSA and demonstrated its cybersecurity applications. We conducted an empirical study on vulnerability discovery in the Masaryk University's network using our software. It continuously fingerprints active hosts and matches them with disclosed vulnerabilities data. We showed that the passive methods of achieving CSA perform well in an unknown environment without interference with the network and assets. Our results are relevant for security researchers and practitioners interested in CSA and improving their organization's cybersecurity.

Keywords

Cyber Situational Awareness, Cybersecurity, Network monitoring, Fingerprinting, Data modeling, Vulnerability management, IPFIX, IP flow

Language used: English

Date on which the thesis was submitted / produced: 1. 11. 2021

Thesis defence

• Date of defence: 23. 2. 2022
• Supervisor: doc. Ing. Pavel Čeleda, Ph.D.
• Reader: Assoc. Prof. Elias Bou-Harb, doc. Ing. Ondřej Ryšavý, Ph.D.

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Computer Science / Computing Technology and Methodology