Behavioral Detection of Distributed Dictionary Attacks

RNDr. Martin Drašar, Ph.D.

Doctoral thesis

Abstract:

Množství síťového provozu exponenciálně narůstá. V této záplavě dat probíhá bezpočet útoků. Není již nadále možné se spoléhat na metody hloubkové analýzy paketů, aby tyto útoky odhalily, protože pro jejich běh nedostačují hardwarové prostředky. Proto se na detekci těchto útoků využívají metody behaviorální analýzy založené na zpracování síťových toků. Tato disertační práce se zaměřuje na behaviorální detekci síťových útoků, zvláště pak na detekci slovníkových útoků a jejich distribuovaných variant. Jako první v ní rozebíráme současný stav vědění v oblasti behaviorální detekce útoků. Za použití nové taxonomie útoků kategorizujeme dostupné detekční metody a identifikujeme řadu problémů, jimž celá oblast čelí. Speciální pozornost věnujeme metodám pro detekci slovníkových útoků. Poté analyzujeme nástroje jež jsou dostupné útočníkům a argumentujeme, že modely chování útočníků využívané v detekčních metodách nejsou dostatečně ucelené. Navrhujeme nový model slovníkových útoků a vyhodnocujeme jej z hlediska ucelenosti, rozšiřitelnosti a schopnosti předvídat nové typy útoků. Dále se zaměřujeme na nedostatek vhodných datových sad pro vyhodnocení navrhovaných detekčních metod. Děláme přehled těch, které jsou v současnosti dostupné a navrhujeme nový přístup k jejich vytváření za použití naší vlastní útočné platformy. Poté představujeme inovativní metodu na detekci síťových útoků a korelaci detekovaných anomálií. Tato metoda je založena na proudových datových strukturách zvaných k-ární sketche, jichž využívá k detekci těžko odhalitelných a distribuovaných útoků. Pro zhodnocení její efektivity ji srovnáváme s ostatními dostupnými metodami. Ukazuje se, že tato metoda je schopna dosáhnout lepších detekčních schopností na skutečném síťovém provozu než ostatní nasazené metody v síti Masarykovy univerzity. Také je schopna detekovat specifické útoky, jež obchází jiné detekční metody.

Abstract:

The amount of network traffic has grown exponentially. Within this torrent of data, attacks are plentiful. It is no longer possible to rely on methods of deep packet inspection to detect these attacks, due to prohibitive hardware requirements. Therefore, behavioral methods based on network flows are used to detect these attacks. This thesis focuses on behavioral attack detection, especially on the detection of dictionary attacks and their distributed variants. We first discuss the state of the art in the field of behavioral attack detection. Using a novel taxonomy of network attacks, we categorize available detection methods and identify a number of issues the field faces as a whole. We pay special attention to methods for detecting dictionary attacks. We then proceed to analyze the tools available to attackers and argue that models of attackers' behavior which the detection methods use are incomplete. We propose a new model of dictionary attacks and evaluate it in terms of its completeness, extensibility and predictive power. We then focus on the lack of datasets for evaluating the proposed methods. We survey available datasets and introduce a new approach to their creation using our custom made attacking platform. We then propose a novel method for detecting network attacks and correlating detected anomalies. This method is built around stream data structures called k-ary sketches that it uses in novel way to enable detection of stealthy and distributed attacks. Its detection efficiency is evaluated and compared to available detection methods. The method is shown to attain better true positive ratio for real-life traffic in comparison to tools deployed in the network of Masaryk University. It is also able to detect attacks that evade other detection methods.

Keywords

Behavioral analysis, network flows, dictionary attacks, distributed attacks, behaviorální analýza, síťové toky, slovníkové útoky, distribuované útoky

Language used: English

Date on which the thesis was submitted / produced: 3. 11. 2014

Thesis defence

• Date of defence: 8. 4. 2015
• Supervisor: doc. RNDr. Václav Račanský, CSc.
• Reader: doc. Dr. Ing. Petr Hanáček, Prof. Dr. Ir. Aiko Pras

Masaryk University

Faculty of Informatics

Doctoral programme / field:
Informatics (4-years) / Computer Systems and Technologies