Host Trustworthiness Estimation

Mgr. Tomáš Jirsík

Advanced ('rigorózní') thesis

Abstract:

Zařízení připojená do sítě se stala neodmyslitelnou součástí našich životů. Počet těchto zařízení, stejně jako šíře přenosového pásma a objem přenesených dat neustále rostou. Spolu s nástupem éry Internetu Věcí se mění i typy zařízení připojených do sítě. Odhaduje se, že v horizontu čtyř let přenosná zařízení a senzorová zařízení budou tvořit více než 50% zařízení připojených k Internetu. Tento změna v rozložení typů zařízení v síti přináší nové výzvy v oblasti síťové bezpečnosti. Vybudování obranného perimetru je stále obtížnější, ne-li nemožné, díky mobilitě přenosných zařízení. Provozovatelé sítí čelí narůstajícímu počtu přenosných zařízení vyžadujících přístup do sítě. Bezpečnostní zajištění těchto zařízení je ovšem většinou neznámé, což představuje hrozbu pro zachování síťové bezpečnosti. Současná řešení pro monitorování síťového provozu využívají analýzu paketů nebo síťových toků pro detekci síťových útoků/anomálií. Tyto řešení jsou ale orientována především na jednotlivá komunikační spojení. V těchto komunikačních spojeních vyhledávají jednotlivé útoky a teprve po úspěšné detekci identifikují útočníka nebo oběť útoku. Jestliže dané zařízení není obětí útoků nebo útočníkem, správce sítě nemá žádnou informaci o stavu daného zařízení z hlediska síťové bezpečnosti. V tezích disertační práce představujeme jednotlivé fáze výzkumu, jehož cílem je vyvinout koncept pro odhad důvěryhodnosti zařízení v doméně síťové bezpečnosti. Pojem důvěryhodnost zařízení označuje míru, která reprezentuje bezpečnostní ohodnocení daného zařízení. S využitím charakteristik daného zařízení, metod pro zpracování velkých dat a metod pro dolování dat plánujeme získat měřítko, které odráží bezpečnostní riziko, které zařízení představuje pro síť. Aby bylo možné ohodnotit všechna zařízení připojená do sítě, zamýšlíme využít pro sběr dat koncept monitorování síťových toků. Hlavní přínos k oblasti síťové bezpečnosti je formální definice důvěryhodnosti zařízení a samotný odhad důvěryhodnosti. Dále se zabýváme možnostmi jednoznačné identifikace síťového zařízení v síťovém provozu, identifikací charakteristik zařízení vhodných i odhadu důvěryhodnosti a volbě vhodného matematického modelu pro odhad. Modely pro odhad budou založeny na ohodnocení jednotlivých událostí v síťovém provozu nebo charakteristikách daného zařízení. Po zvolení vhodného modelu bude provedeno vyhodnocení daného přístupu. Výzkum nyní ukončil svoji počáteční fázi a předpokládá se ukončení za dva roky obhajobou disertační práce.

Abstract:

Network connected devices have become an inherent part of our lives. Number of devices connected to the network, as well as bandwidth and volume of transferred data are growing rapidly. As we are heading to the era of Internet of Things, distribution of device types is changing. Portable and machine to machine devices (e.g., smart meters, video surveillance) are predicted to share more than 50% of total number of devices connected to Internet in four years horizon. These devices brings new challenges to the network security. Establishment of a defense perimeter has become difficult, if not even impossible due to mobility of the devices. Network security administrators need to cope with increasing volume of portable devices requesting connection to their network. Moreover, security status of such devices is usually unknown, which represent a potential threat to network security. Current network security monitoring tools employs network flow or packet analysis tools to detect network attacks or anomalies. However, they are connection oriented and they initially look for an attack or anomaly in the network traffic and after a successful detection they pinpoint an attacking(-ed) device. If there is no attack originating (targeting) at a device, the network security administrator does not have any security assessment of the device. To this point, we outline a research, whose goal is to introduce a modified concept of host trustworthiness estimation. The host trustworthiness is intended to be a measure, which represents security assessment for each host in a network. Using host characteristics, we plan to employ methods for big data processing and data mining to obtain a measure, which reflect the risk a host poses to a network. In order to be able to asses all hosts in the network, we intend to employ network flow monitoring to obtain data for estimation. We would like to contribute to this area of network security by a formal definition of the trustworthiness concept. Apart from the formal definition, we investigate means for flow based host identification, identify relevant host characteristics to monitor and choose a relevant mathematical framework for trustworthiness estimation. Models used for trustworthiness estimation will be based on scoring either single events or host characteristics. Last, but not least, we pro pose a relevant evaluation methodology. The research is just beyond its initial phase and will conclude with Ph.D. thesis in two years.

Keywords

host, trustworthiness, scoring, network flow, monitoring

Language used: English

Date on which the thesis was submitted / produced: 9. 10. 2014

Thesis defence

• Date of defence: 15. 1. 2015
• Reader: Ing. Petr Matoušek, Ph.D., Ing. Martin Rehák, Ph.D.

Masaryk University

Faculty of Informatics

Advanced ('rigorózní řízení') programme / field:
Applied Informatics / Applied Informatics