Next Generation Flow Measurement for Application Monitoring

Mgr. Petr Velan

Advanced ('rigorózní') thesis

Abstract:

Počet bezpečnostních incidentů dnes neustále vzrůstá. Monitorování síťového provozu poskytuje škálovatelnou platformu pro tvorbu systémů pro odhalení průniků (IDS). Hloubková analýza paketů (DPI) je často používaná metoda, která prochází a podrobně analyzuje obsah každého paketu. DPI poskytuje podrobné informace o obsahu paketů. Tyto informace jsou potom využity pro hledání malwaru, zneužitých zranitelností a jiných druhů ofenzivního provozu. DPI má dvě nevýhody. Zaprvé, špatně se vypořádává se šifrovaným provozem a za druhé je výpočetní složitost analýzy všech paketů příliš vysoká pro nasazení na vysokorychlostních sítích. Monitorování IP síťových toků je metoda která analyzuje pouze IP hlavičky. Tato metoda také agreguje informace z proudu paketů do jednoho toku, díky čemuž dobře škáluje na vysokorychlostních sítích. Na druhou stranu, tato metoda neposkytuje tak detailní informace o provozu jako DPI. Monitorování aplikačních síťových toků bylo navrženo jako snaha o rozšíření IP toků o informace z aplikační vrstvy. Avšak dopady, výhody a nevýhody monitorování aplikačních toků zatím nebyly prostudovány. K této oblasti přispějeme několika způsoby. Budeme studovat dopad aplikačních toků na exportéry. Na základě výsledků navrhneme zlepšení monitorování aplikačních toků které umožní překonat nalezené problémy. Navíc předpokládáme, že informace z aplikační vrstvy bude možné použít ke zlepšení kvality měřených toků. Na základě naších výsledků navrhneme další generaci měření aplikačních toků. Tok bude odpovídat události v síti, jako je například načtení webové stránky, namísto jednomu proudu paketů. Tento přístup umožní systémům IDS použít přesnější algoritmy pro detekci průniků a jiných nežádoucích aktivit. Budeme se také zabývat potřebou monitorování vysokorychlostních sítí. Prozkoumáme výkon různých algoritmů pro klasifikaci a analýzu aplikací vzhledem k jejich výpočetní složitosti.

Abstract:

Number of security incidents is rapidly growing nowadays. Network traffic monitoring provides a scalable platform for building Intrusion Detection Systems (IDS). Deep packet inspection (DPI) is a frequently used method that dissects payloads of packets and closely examines each of them. The DPI provides detailed information about contents of the packet, which is subsequently used to search for known malware signatures, exploits and other kinds of offensive traffic. There are two disadvantages to the DPI. Firstly, it does not handle encrypted traffic well and, secondly, the computational complexity of packet payload examination is too high for deployment on high-speed networks. IP flow monitoring is a method that examines only IP headers. It also aggregates information from a packet stream to single flow. This process scale well on high-speed networks, although it does not provide the same level of detail as the DPI. Application flow monitoring is created as an attempt to provide application layer information using flow monitoring. However, impacts, benefits and disadvantages of application flow monitoring have not been studied in detail yet. We will contribute to this area in several ways. We will study the impact of application flow monitoring on flow exporters. Based on the results, we will propose improvements to the application flow monitoring that will help to cope with discovered disadvantages. We also believe that it is possible to utilize newly acquired application information to improve quality of the flows. Based on previous results, we will propose next generation flow measurement for application monitoring. The flows will match events in application protocol, e.g. web page download, instead of packet stream. This approach will allow IDS systems to apply more accurate techniques for detection intrusions and other malicious activities. Finally, to address the necessity of monitoring high-speed networks, we will investigate the performance of different approaches to application classification and application parsing with a computational complexity in mind.

Keywords

network flow monitoring, application protocol monitoring, deep packet inspection

Language used: English

Date on which the thesis was submitted / produced: 7. 4. 2014

Thesis defence

• Date of defence: 30. 5. 2014
• Reader: Ing. Josef Kaderka, Ph.D., RNDr. Vojtěch Krmíček, Ph.D.

Masaryk University

Faculty of Informatics

Advanced ('rigorózní řízení') programme / field:
Applied Informatics / Applied Informatics