Hardware-Accelerated Anomaly Detection in High-Speed Networks

Mgr. Vojtěch Krmíček, Ph.D.

Advanced ('rigorózní') thesis

Abstract:

Díky zvyšujícím se rychlostem počítačových sítí a zvětšujícímu se počtu uživatelů Internetu vzrůstají také nároky na efektivní monitorování a dohled nad těmito sítěmi a mnoho doposud používaných metod se stává zastaralými. Široce využívaným přístupem pro vysokorychlostní sítě je monitorování založené na agregaci IP toků, kdy se místo informací o obsahu přenášených dat získávají detailní informace o chování sítě a statistických charakteristikách provozu. Vzhledem k nedostačujícím možnostem běžných řešení pro monitorování vysokorychlostních sítí je vhodné využít specializovaný akcelerovaný hardware vyvinutý speciálně pro tento účel. Jedná se například o hardwarové sondy zaměřené na monitorování toků anebo detekci anomálií vyvinuté v rámci projektu Liberouter. Cílem mé disertační práce je prostudovat současné možnosti nasazení akcelerovaného hardwaru pro monitorování vysokorychlostních sítí a především pro detekci anomálií. V teoretické části prostuduji existující i nově vznikající typy síťových hrozeb, jejich charakteristiky a možnosti detekce pomocí statistik IP toků. Praktická část bude orientována na využití existujících hardwarově akcelerovaných řešení pro monitorování vysokorychlostních sítí a na navržení nových metod detekce a prevence síťových anomálií.

Abstract:

Growing speeds of computer networks and rising number of Internet users increase requirements for effective network monitoring and surveillance and a lot of past methods are out of date. Widely used approach for high-speed monitoring is based on aggregation of IP flows. Such information provides no hint about the content of the transmitted data, but detailed information about network behavior and characteristics of network traffic. We can use with advantage specialized hardware based solutions developed for high-speed network monitoring. During Liberouter project at Masaryk University we have developed such hardware, namely hardware accelerated network probes for IP flow monitoring and for intrusion detection. The aim of my thesis is to study possibilities of monitoring and anomaly detection in high-speed network environment using hardware-accelerated devices. In theoretical part, I will study both existing and newly rising network threats, their characteristics and possibilities of detection with IP flow information. A practical part of my work will be focused on hardware accelerated high-speed network monitoring and on designing of new anomaly detection and prevention methods.

Keywords

high-speed networks, anomaly detection, accelerated hardware

Language used: English

Date on which the thesis was submitted / produced: 12. 6. 2008

Thesis defence

• Date of defence: 23. 6. 2008

Masaryk University

Faculty of Informatics

Advanced ('rigorózní řízení') programme / field:
Informatics / Informatics