Hardware-Accelerated Anomaly Detection in High-Speed Networks

RNDr. Vojtěch Krmíček, Ph.D.

Doctoral thesis

Abstract:

Vzhledem ke zvyšujícím se rychlostem počítačových sítí a rostoucímu počtu uživatelů Internetu vzrůstají také nároky na monitorování a dohled nad těmito sítěmi, mnoho doposud používaných metod se stává zastaralými. Široce využívaným přístupem ve vysokorychlostních sítích je monitorování založené na agregaci IP toků, kdy se místo informací o obsahu přenášených dat získávají detailní informace o chování sítě a statistických charakteristikách provozu. V této disertační práci se zabýváme problémem bezpečnostního monitorování sítí ve vysokorychlostních sítích. Využíváme specializovaná hardwarová zařízení pro monitorování IP toků a studujeme možnosti a metody pro pokročilý bezpečnostní dohled nad počítačovými sítěmi. Prezentované výsledky je možné rozdělit do následujících čtyřech oblastí. V první části disertační práce navrhujeme a implementujeme kooperativní systém pro detekci síťových hrozeb ve vysokorychlostních sítích založený na monitorování IP toků. Následující část studuje vliv samplování IP toků na metody detekce anomálií a dále navrhuje novou adaptivní metodu samplování optimalizovanou pro algoritmy detekce anomálií. Třetí část práce rozšiřuje standardní formát IP toků o obousměrnou komunikaci a popisuje efektivní implementaci algoritmu provádějícího párování toků a zvyšujícího kvalitu bezpečnostního monitorování sítí. V závěrečné části navrhujeme a implementujeme systém pro detekci neoprávněného použití zařízení provádějícího překlad síťových adres v monitorované síti.

Abstract:

Growing speeds of computer networks and rising number of Internet users increase requirements for effective network monitoring and surveillance and a lot of past methods are out of date. Widely used approach for high-speed monitoring is based on aggregation of IP flows. Such information provides no hint about the content of the transmitted data, but detailed information about network behavior and characteristics of network traffic. In our work, we address the problem of network security monitoring in high-speed networks. We use specialized hardware accelerated devices for IP flow monitoring and develop advanced method for network security surveillance. Our results can be divided into four areas. In the first part of our thesis, we design and implement an IP flow based cooperative threat detection system for high-speed networks. Following part investigates an impact of an IP flow sampling on anomaly detection methods and proposes new adaptive sampling method optimized for anomaly detection algorithms. The third part of our work extends widely used IP flow format by bidirectional extension and describes efficient bidirectional algorithm implementation, which improves the quality of the network security monitoring. Finally, we design and implement a system for detection of unauthorized use of network address translation devices in the monitored network.

Keywords

network security monitoring, NetFlow, hardware acceleration, anomaly detection, biflows, sampling, network address translation

Language used: English

Date on which the thesis was submitted / produced: 16. 9. 2011

Thesis defence

• Date of defence: 19. 12. 2011
• Supervisor: prof. Ing. Václav Přenosil, CSc.
• Reader: Ing. Petr Matoušek, Ph.D., Assoc. Prof. Aiko Pras

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Informatics (4-years) / Informatics