Network-based targeted attacks detection

Ibrahim Ghafir

Doctoral thesis

Abstract:

V posledních letech počítačové útoky způsobily značné finanční ztráty a byly schopny zastavit i některé základní veřejné služby. Mezi těmito útoky se objevily hrozby ATP (Advanced Persistent Threats - Pokročilé trvalé hrozby) jako nové bezpečnostní riziko, které zasáhlo řadu společností a organizací. Útočníci mohou monitorovat a sledovat cílovou organizaci, rušit její funkce a ukrást důvěrné informace. APT jsou aktivovány skutečně kvalifikovanými útočníky motivovanými nejrůznějšími cíli - politickými, ideologickými, finančními nebo kriminálními. Pro eliminaci počítačových útoků jsou analytici počítačové bezpečnosti jednoznačně závislí na IDPS (Intrusion Detection and Prevention Systems - Systém detekce a prevence narušení). APT však představují výzvu pro stávající IDPS, protože používají doposud neodhalené bezpečnostní díry, což znemožňuje jejich odhalování pomocí tradičních technik založených na podpisu. Útok APT je zpravidla rozdělen do několika fází s prodlevami i několik měsíců, což vyžaduje určitý druh korelace pro propojení jednotlivých kroků APT. Používané metody aktivity ATP vyvolaly komerčně podporovaný zájem o výzkum a vývoj nových nástrojů a postupů jak detekovat APT. Cílem této práce je ukázat další možnosti detekce útoků na konzistenci provozu počítačových sítí, zejména na detekci APT. V práci je popsán systém korelace založený na CATPD (Correlation-based ATP Detection - Detekce ATP hrozeb). Tento systém vytváří vlastní elementární výstrahy na základě vlastních detekčních modulů. Tyto moduly umožňují CAPTD pracovat autonomně, aniž by bylo nutné, aby základní informace byly získány z jiných IDPS. Metodologie implementovaná do jednotlivých modulů je primárně použita na ochranu proti útokům APT, ale mohou být použity i pro jiné typy útoků nebo mohou být dokonce i neúčinné. Samostatně mohou být tedy tyto detekční moduly neúčinné, ale pokud jsou výsledky sloučeny, mohou vytvořit kompletní obraz o aktivitách jednotlivých fází APT. Z tohoto důvodu jsou výstrahy vyvolané jednotlivými detekčními moduly vyhodnocovány v práci navrženým a popsaným korelačním rámcem pro získání relevantní rekonstrukce útoku ATP. Pro sestavení korelačního rámce je použit statistický Markovův model se skrytými stavy (Hidden Markov Model - HMM) k předpovědi nejpravděpodobnějšího kroku další fáze útoku APT detekovaného jednotlivými moduly CAPTD. Navíc CAPTD poskytuje odhad pravděpodobnosti, že detekce jednotlivých modulů detekují konkrétní fázi útoku APT a předpovídají další kroky v životním cyklu APT.

Abstract:

Over the past decade, cyber attacks have caused substantial financial losses and been able to stop fundamental public services. Among these attacks, Advanced Persistent Threats (APTs) have emerged as a new security risk hitting selected companies and organisations. The attackers can monitor and spy on the target organisation, disturb its functions and steal confidential information. Furthermore, APTs are conducted by highly skilled cyber-criminals motivated by a political, ideological, financial or criminal goal. To mitigate cyber attacks, cyber security analysts heavily depend on Intrusion Detection and Prevention Systems (IDPSs). However, APTs form a challenge for the current IDPSs, since they use unknown security holes, which makes it unavailable for the traditional signature-based techniques to detect them; and APTs span over a period of time, which requires a kind of correlation to link the APT steps. These challenges have brought much interest in the research and investment towards developing new tools and approaches for APT detection. This work aims to contribute to intrusion detection systems, particularly, APT detection. A Correlation-based Advanced Persistent Threat Detection system (CAPTD) has been developed. This system generates its own elementary alerts based on its own detection modules. These modules allow CAPTD to work autonomously without requiring the elementary alerts to be obtained from another IDPS. Even though an individual module alert indicates a technique which can be used in an APT attack, this technique can be used for other types of attacks or it can be even a benign one. Thus, individually these detection modules are ineffective, and their information should be fused to build a complete picture regarding an APT campaign. For this reason, the alerts raised by the individual detection modules are fed to a newly designed correlation framework to achieve the attack scenario reconstruction. Then, the Hidden Markov Model (HMM) is utilised to predict the most likely APT step of the detected elementary alert. Moreover, CAPTD can estimate the probability of the current elementary alerts to reach the final step of APT and predict the next steps of the APT life cycle.

Keywords

Cyber attacks, advanced persistent threat, targeted attacks, intrusion detection system, attack scenario reconstruction, hidden Markov model.

Language used: English

Date on which the thesis was submitted / produced: 8. 10. 2018

Thesis defence

• Date of defence: 16. 4. 2019
• Supervisor: prof. Ing. Václav Přenosil, CSc.
• Reader: Assoc. Prof. Nikolai Stoianov, Prof. Robert M. Newman, Prof. Dr. Burkhard Stiller

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Informatics (4-years) / Computer Systems and Technologies (eng.)