Pobieranie prezentacji. Proszę czekać

Pobieranie prezentacji. Proszę czekać

1 Aspekty bezpieczeństwa Systemu IIP 1 Jerzy Konorski (PG) Zbigniew Kotulski, Krzysztof Cabaj (PW) Grzegorz Kołaczek (PWr) Piotr Pacyna (AGH) w pracach.

Podobne prezentacje


Prezentacja na temat: "1 Aspekty bezpieczeństwa Systemu IIP 1 Jerzy Konorski (PG) Zbigniew Kotulski, Krzysztof Cabaj (PW) Grzegorz Kołaczek (PWr) Piotr Pacyna (AGH) w pracach."— Zapis prezentacji:

1 1 Aspekty bezpieczeństwa Systemu IIP 1 Jerzy Konorski (PG) Zbigniew Kotulski, Krzysztof Cabaj (PW) Grzegorz Kołaczek (PWr) Piotr Pacyna (AGH) w pracach uczestniczyli także: P. Szałachowski, L. Kucharzewski (PW) D. Rzepka, W. Rupiński, J. Zimnowoda, W. Romaszkan, J. Kasperek, P. Rajda (AGH) specjalne podziękowania: A. Bęben (PW), Ł. Dolata (PCSS)

2 2 Architektura i zagrożenia Systemu IIP IPv6 QoSDSSCAN Zagrożenia w Systemie IIP na poziomie wirtualizacji stwarzane przez intruzów / przypadkowe spoza Systemu IIP / z przejętych węzłów IIP ogólnoinformatyczne / związane z ruchem IIP PI – Parallel Internet

3 Cel prac: architektura bezpieczeństwa Systemu IIP prewencja wprowadzania obcego ruchu (injection) wykrywanie i raportowanie innych zagrożeń węzeł IIP EX32 00 KRK EX32 00 WRO XEN CA N eth3 eth1 PL-LAB XEN CA N eth1 peth0 PI CAN System IIP ge-0/0/7 Infrastruktura transmisyjna forging injection reseq/replay/ruffling 3 IIP-PDU PDU PI- CAN-PDU Architektura i zagrożenia Systemu IIP

4 4 Polityka bezpieczeństwa Podejście oparte na predykcji wektorów ataku i repozytoriach sygnatur ataku - utrudnione współdzielenie infrastruktury transmisyjnej przez różne techniki transmisji …oraz PI o różnych stosach protokołów (przeźroczystych dla poziomu wirtualizacji) Proponowane podejście – polityka bezpieczeństwa rejestr zdarzeń związanych z potencjalnymi zagrożeniami (SRE – security related event) definicja filtrów SRE – anomalii zachowań ruchu / węzłów IIP analiza i dystrybucja wyników filtracji SRE

5 Potrzeba funkcji bezpieczeństwa w łączu IIP uwierzytelnianie & integralność IIP-PDU węzeł IIP EX32 00 KRK EX32 00 WRO XEN CA N eth3 eth1 PL-LAB XEN CA N eth1 peth0 PI CAN Bezpieczne łącze IIP ge-0/0/7 Infrastruktura transmisyjna injection 5 HMA C mac0 mac2 mac2 mac0 reseq/replay PDU PI- CAN-PDU IIP-PDU Kryptograficzna ochrona IIP-PDU (HMAC – Hash-Based Message Authentication Code )

6 66 Sprzętowy szyfrator / weryfikator IIP-PDU implementacja: HMAC/SHA-1 w układzie netFPGA 1G zrealizowana w AGH, demonstrowana jesienią 2012 Mechanizm hop-by-hop, przeźroczysty dla wszystkich PI przewaga nad rozwiązaniami ‘IP only’ (IPSec, TLS, SSL) SRE: nieudana weryfikacja HMAC, powoduje: usunięcie IIP-PDU generację raportu diagnostycznego Kryptograficzna ochrona IIP-PDU (HMAC – Hash-Based Message Authentication Code ) association number IIP-PDU number sygnatura HMAC-SHA-1

7 Wykrywanie lokalnych anomalii (LAD – local anomaly detection) węzeł IIP EX32 00 KRK EX32 00 WRO XEN CA N eth3 eth1 PL-LAB XEN CA N eth1 peth0 PI CAN ge-0/0/7 Infrastruktura transmisyjna forging HMA C mac0 mac2 mac2 mac0 nf2c3 Kod przyczyny 64 B IIP-PDU ruffling LO :: IPv6 MIB /NetSNMP - statystyki SNMP / SSH LAD SRE 7 Obsługa raportów diagnostycznych i wykrywanie ataków nieblokowanych przez HMAC

8 8 Wykrywanie lokalnych anomalii (LAD – local anomaly detection) Moduł LAD zaimplementowany w kodzie węzła Systemu IIP: Przechowuje rejestr SRE i filtrów SRE definiowanych zgodnie z polityką bezpieczeństwa dynamiczna polityka bezpieczeństwa – dystrybucja via sieć zarządzania Filtracja SRE generuje alerty lokalne po wykryciu anomalii w węźle/sąsiednich węzłach IIP eksploracja danych: analiza zbiorów częstych uczenie maszynowe: analiza szeregów czasowych

9 9 LAD: Metoda zbiorów częstych analizuje się krotki atrybutów SRE w logu SRE w zbiorze krotek wyszukuje się zbiory częste podkrotek = powtarzające się wzorce zachowań alerty generowane przez: niepoprawny format IIP-PDU (nieudana weryfikacja HMAC – próby injection, reseq / replay) zbiór częsty  niebezpieczna semantyka IIP-PDU (próby forging, skanowania, przejęcia węzła via SSH, SNMP) miara zagrożenia związanego z wykrytą anomalią

10 LAD: Metoda szeregów czasowych odczyty z lokalnej MIB & agenta NetSNMP w Xen: intensywności ruchu / rozmiarów IIP-PDU poziomu wykorzystania CPU / RAM naprzemienny proces uczenia zachowań standardowych i wykrywania ich rozbieżności z zachowaniami bieżącymi rozbieżności wskazują na próby ruffling błędy, awarie, próby przejęcia węzła poprzez eskalację uprawnień systemu-gościa miara zagrożenia związanego z wykrytą anomalią 10

11 węzeł IIP REP PI- AD LA D LSA węzeł IIP LSA węzeł IIP LSA LA D Podsystem zarządzania Systemu IIP (SNMPv3) Wylicza globalne metryki reputacji LSA w obr ę bie PI na podstawie metryk lokalnych Wykrywa globalne anomalie na podstawie alertów lokalnych Akwizycja: Alerty lokalne Lokalne metryki zaufania SRE do analizy globalnej i/f w podsytemie zarządzania alert lokalny Alert LSA LA D LSA LA D LSA LA D LSA LA D LSA 11 SRE Wylicza lokalne metryki zaufania sąsiednich LSA na podstawie częstości i wyceny zagrożenia wykrytych anomalii MSA local security agent master security agent Wykrywanie globalnych anomalii i zarządzanie reputacją Dystrybucja wyników analizy LAD i przeciwdziałanie skutkom ataków o szerokim zasięgu

12 12 Scentralizowany system agentowy: LSA w węzłach IIP + MSA wykrywanie ataków o zasięgu PI, niewykrywalnych przez LAD neutralizacja skutków niepoprawnych działań LSA dystrybucja globalnych metryk reputacji – udostępnianie innym węzłom i podsystemom Systemu IIP (zarządzanie, routing) dystrybucja aktualnej polityki bezpieczeństwa Wykrywanie globalnych anomalii i zarządzanie reputacją

13 REP PI- AD MSA Wykrywanie globalnych anomalii i zarządzanie reputacją metryki zaufania/reputacji prezentowane poprzez podsystem zarządzania Dystrybucja: Globalne metryki reputacji Definicje SRE i filtrów SRE 13 węzeł IIP LA D LSA 13 SRE węzeł IIP LA D Alert LSA alert lokalny Podsystem zarządzania Systemu IIP (SNMPv3)

14 14 Node 4 Model zaufania i reputacji Zaimplementowany w module REP agenta MSA elastyczność ze względu na modyfikacje pod systemu zarządzania, semantykę IIP-PDU, model zaufania i reputacji Przetestowany wiosną 2012 w testbedzie PW 4 wirtualne maszyny Xen (3 x LSA + MSA), połączone siecią IPv6 ataki realizowane z wykorzystaniem narzędzi IPv6 (ping6/nmap) Node 5 Node 3: MSA suma ważona ruchoma średnia cykl globalne metryki zaufania metryki reputacji lokalne metryki zaufania = 1 – miary zagrożeń w cyklu Podsystem zarządzania Systemu IIP

15 15 Obniżenie reputacji Node 4: atak na Node 3  alert lokalny do MSA atak na Node 3 i Node 5  dwa alerty lokalne do MSA / alert PI-AD Testy agenta MSA Node 4 atakuje Node 3, następnie także Node 5

16 16 Minimalny spadek: alert zgłasza Node 4\ – maszyna o niskiej reputacji Z kolei Node 3 atakuje kolejno Node 4 oraz Node 5 reputacja Node 3 zależy od reputacji maszyn zgłaszających alerty 16 Wyraźny spadek: alert zgłasza Node 5 – maszyna o wysokiej reputacji Testy agenta MSA

17 17 Architektura bezpieczeństwa IIP: Trzy linie obrony LSA +MSA: zarządzanie reputacją i wykrywanie globalnych anomalii, neutralizuje skutki działań niewykrywalnych przez LAD LAD: wykrywanie lokalnych anomalii nieblokowanych przez HMAC, wywołanych przez forging, ruffling HMAC: kryptograficzna ochrona IIP-PDU, blokuje injection, [replay/reseq]

18 Zaproszenie na wystawę Dziękujemy za uwagę. 18

19 Publikacje K. Cabaj, G. Kołaczek, J. Konorski, P. Pacyna, Z. Kotulski, Ł. Kucharzewski, P. Szałachowski, Security architecture of the IIP System on resources virtualization level, Telecommunication Review - Telecommunication News, Vol.84(80), No.8-9, pp , (2011) K. Cabaj, Z. Kotulski, P. Szałachowski, G. Kołaczek, J. Konorski, Implementation and testing of Level 2 security architecture for the IIP System, Telecommunication Review - Telecommunication News, Vol.85(81), No.8-9, pp , (2012) J. Konorski, P. Pacyna, G. Kołaczek, Z. Kotulski, K. Cabaj, P. Szałachowski, "A Virtualization-Level Future Internet Defense-in-Depth Architecture", CCIS, vol.335, Recent Trends in Computer Networks and Distributed Systems Security, Part 1, pp , Springer-Verlag, Berlin Heidelberg New York ISBN (DOI: / _29) J. Konorski, J. Kasperek, P. Pacyna, D. Rzepka, W. Romaszkan, M. Rupiński, J. Zimnowoda, A. Kamisinski, P. Rajda, Implementacja sprzętowa modułu HMAC-SHA-1 do ochrony komunikacji w systemie IIP, Telecommunication Review - Telecommunication News (Przegląd Telekomunikacyjny), Vol.85(81), No.8-9, pp , (2012) J. Konorski, P. Pacyna, G. Kołaczek, Z. Kotulski, K. Cabaj, P. Szałachowski, "Theory and implementation of a virtualisation level Future Internet defence in depth architecture", Int. J. Trust Management in Computing and Communications 2013 (to appear) 19


Pobierz ppt "1 Aspekty bezpieczeństwa Systemu IIP 1 Jerzy Konorski (PG) Zbigniew Kotulski, Krzysztof Cabaj (PW) Grzegorz Kołaczek (PWr) Piotr Pacyna (AGH) w pracach."

Podobne prezentacje


Reklamy Google