Small scale denial of service attacks

Mgr. Vít Bukač, Ph.D.

Doctoral thesis

Abstract:

Útok typu odepření služby (angl. denial of service, DoS) je nejběžnější útok na dostupnost dat, se kterým je možné se na internetu setkat. Jedná se o snahu učinit výpočetní zdroj nedostupným pro jeho zamýšlené uživatele. Distribuovaným DoS útokem (angl. distributed denial of service, DDoS) rozumíme takový DoS útok, kdy několik různých zdrojů spolupracuje k dosažení tohoto cíle. Nejobvyklejší třídou DoS útoků jsou tzv. záplavové DoS útoky. Během záplavového útoku posílají útočící počítače velké množství nevyžádaného síťového provozu směrem k oběti, čímž dosahují jejího zahlcení. Zatímco největší pozornost jak akademické tak průmyslové sféry je namířena na analýzu rozsáhlých záplavových útoků, statistiky ukazují, že více jak 80 % DoS útoků dosahuje síly menší než 1 Gbps. Tyto útoky o malé síle mohou být prováděny botnety, dedikovanými DoS nástroji nebo DDoS službami za úplatu (angl. DDoS-for-hire, DDoS-as-a-service, DDoSaaS). Tato práce poskytuje komplexní analýzu hrozby představované dedikovanými DoS nástroji a široce dostupnými DDoSaaS. Dále prezentuje framework pro automatické posilování DoS útoků. V případě botnetů může být rozpoznání odchozích DoS útoků použito jako behaviorální detekce malwarem infikovaných strojů. Na počátku práce prozkoumáváme jak základní myšlenky, tak stav soudobého výzkumu v oblasti systémů detekce průniku na koncových strojích (angl. host-based intrusion detection system, HIDS). Separátní sekce jsou věnovány ochraně proti manipulaci a také technikám vyhýbání se detekci, které jsou používány útočníky. Zdůrazňujeme existující výzkumné trendy a navrhujeme možné budoucí formy vývoje. Výzkum v oblasti detekce DoS útoků je komplikován nedostatkem spolehlivých a široce dostupných záznamů o reálných útocích. Souhrny dat s pojmenovaným obsahem jsou zvláště vzácné. Tudíž je efektivita nových metod na detekci DoS útoků neustále ověřována pomocí již zastaralých nástrojů a vzorků síťového provozu. Abychom řešili tento problém, poskytujeme srovnávací analýzu vlastností datového provozu DoS útoků, které byly generovány moderními dedikovanými DoS nástroji. Využili jsme takové nástroje, které byly používány v mediálně známých incidentech. Poskytujeme klasifikaci jednotlivých vlastností datového provozu včetně použitých technik pro vyhýbání se detekci a také včetně pozorovaných anomálií. Vyspělost trhu s poskytováním DoS útoků je vidět ve vzniku DDoS služeb za úplatu. Tyto služby jsou určeny pro široké publikum a dovolují provádět DoS útoky i uživatelům bez technických znalostí. Vyhodnotili jsme nebezpečí představované DDoSaaS vůči málo a středně výkonným serverům hostovaným v cloudu a také vůči domácím uživatelům. Sledovali jsme také popularitu a dostupnost těchto služeb, jejich platební schémata, ceny předplatného a složitost i sílu útoků, které jsou schopné generovat. Průběh každého útoku vůči počítačovému systému může být popsán dobře známou a široce využívanou kill chain metodikou. Kill chain říká, že každý útok prochází několika jasně definovanými fázemi. Jejich pořadí je neměnné. Každá fáze může začít, pouze když předchozí fáze byla úspěšně ukončena. Analyzovali jsme kill chain u DDoSaaS služeb a porovnali jsme ho s kill chain u útoků typu Advanced Persistant Threat (APT). Diskutovali jsme specifika kill chainu v situaci, kdy je část aktivit prováděna zákazníkem a část je prováděna provozovatelem DDoS služby. Záplavové DoS útoky mají často neočekávané dopady. Klíčovým problémem, aby bylo možné navrhnout efektivní systémy pro detekci a ochranu, je odhalit limity a možné varianty soudobých útoků. Bohužel, jak vývo

Abstract:

j nových DoS útoků tak manuální vyhodnocování odolnosti síťových aplikací vůči DoS útokům je náročný proces. Vytvořili jsme tedy framework pro rychlou evoluci DoS útoků pomocí genetických algoritmů. Framework je možné použít k odhalení limitů současných DoS útoků i k vyhodnocení odolnosti síťových aplikací vůči nim. Framework je založen na virtualizovaném prostředí a poskytuje vysoký stupeň automatizace.

Abstract:

A denial of service (DoS) attack is the most common attack against the data availability on internet. It is an attempt to make a computer resource unavailable to its intended users. A distributed denial of service (DDoS) attack occurs when multiple attack sources collaborate to achieve this goal. Flooding attacks are the most prominent class of (D)DoS attacks. During a flooding DoS attack, attacking hosts are sending a huge volume of unsolicited network traffic to the victim, which results in the victim being overwhelmed. While most attention of both academia and industry is given to the analysis of large-scale volumetric DoS attacks, statistics have shown that more than 80\% of DoS attacks worldwide have bandwidth less than 1 Gbps. These low power attacks can be executed by botnets, standalone DoS tools or DDoS-for-hire services (also DDoS as a service, DDoSaaS). This dissertation provides a comprehensive analysis of the threat posed by standalone DoS tools and widely available DDoSaaSs. Also, a framework for DoS attacks augmentation is presented. In case of botnets, outgoing DoS attacks recognition can be used for behavioral detection of malware-infected hosts. We explore both the founding ideas and the state-of-the-art research on host-based intrusion detection systems (HIDSs). Separate sections are devoted to the protection against tampering and to the HIDS evasion techniques that are employed by attackers. Existing research trends are highlighted, and possible future directions are suggested. Research on denial of service attack detection is complicated due to scarcity of reliable, widely available and representative contemporary input data. Labelled DoS attack datasets are especially rare. Therefore, efficiency of newly proposed DoS detection methods is continually verified with obsolete attack samples and tools. To address this issue, we provide a comparative analysis of traffic features of DoS attacks that were generated by state-of-the-art standalone DoS attack tools, which were used in well-known attack campaigns. We provide a classification of different attack traffic features, including utilized evasion techniques and encountered traffic anomalies. The maturity of DoS attack provision market demonstrated itself in the appearance of DDoS-for-hire services. These services are intended for a wide audience as they allow executing DoS attacks without any technical knowledge on the side of customer. We analyze the threat of DDoS-for-hire services to low and medium power cloud-based servers or home users. We aim to investigate popularity and availability of such services, their payment models, subscription pricing, complexity of the generated attack traffic and performance. A progress of every attack against a computer system can be described by a well-known and widely used kill chain methodology. The kill chain specifies that every attack against a computer system goes through several clearly identifiable phases. The phases have a fixed order and each phase can take place only if all previous phases were successfully completed. We analyze the kill chain of DDoS-for-hire services and compare it to kill chain of advanced persistent threats. We discuss specifics of kill chain when a DoS attack is carried out by two distinct parties, i.e., service owner and customer. Flooding DoS attacks frequently have unexpected impacts. In order to design proper detection and mitigation systems, it is crucial to discover existing limits and potential new variants of contemporary attack types. However, both the development of new DoS attacks and manual assessment of DoS attacks resiliency are tedious processes. We created a new framework for rapid evolution of denial-of-service attacks by genetic algorithms. The framework can be used to identify limits of current DoS attacks as well as to evaluate the resiliency of a particular software application against a selected DoS attack class. The framework is virtualization-based and provides a hi

Abstract:

gh degree of automation.

Keywords

denial of service, DoS, DDoS, DDoSaaS, traffic features, dataset, DDoS-for-hire, intrusion detection, network security

Language used: English

Date on which the thesis was submitted / produced: 7. 9. 2015

Thesis defence

• Date of defence: 2. 12. 2015
• Supervisor: prof. RNDr. Václav Matyáš, M.Sc.
• Reader: doc. Ing. Daniel Cvrček, Ph.D., Ing. Martin Rehák, Ph.D.

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Informatics (4-years) / Computer Systems and Technologies