Détection d’attaques sur les équipements d’accès à Internet - LAAS-Réseaux et Communications Accéder directement au contenu
Thèse Année : 2018

Detection of attacks on Internet access equipment

Détection d’attaques sur les équipements d’accès à Internet

Résumé

2039/5000 Network anomalies, and in particular distributed denial of service attacks, remain a significant threat to Internet players. The detection of these anomalies requires adapted tools, able not only to perform a correct detection, but also to meet the many constraints related to operation in an industrial context. Among other things, the ability of a detector to operate autonomously and to operate on sampled traffic are important criteria. Unlike supervised or signature approaches, unsupervised attack detection requires no prior knowledge of traffic properties or anomalies. This approach is based on an autonomous characterization of the traffic in production, and does not require the intervention of the administrator until later, when a deviation of the usual traffic is detected. The problem with such approaches is that building such a characterization is algorithmically complex, and may therefore require substantial computing resources. This requirement, especially when the detection must operate on network equipment with already heavy functional loads, is dissuasive as to the adoption of such approaches. This leads us to propose a new unsupervised detection algorithm that is more economical in computing resources, targeting distributed denial of service attacks as a priority. Its detection relies on creating snapshots of traffic at regular intervals, and produces results that are easy to interpret, helping the administrator's diagnosis. We evaluate the performance of our algorithm on two datasets to verify both its ability to correctly detect anomalies without raising false positives and its ability to operate in real time with limited computing resources, as well as traffic sampled. The results obtained are compared with those of two other detectors, FastNetMon and UNADA.
Les anomalies réseaux, et en particulier les attaques par déni de service distribuées, restent une menace considérable pour les acteurs de l’Internet. La détection de ces anomalies requiert des outils adaptés, capables non seulement d’opérer une détection correcte, mais aussi de répondre aux nombreuses contraintes liées à un fonctionnement dans un contexte industriel. Entre autres, la capacité d’un détecteur à opérer de manière autonome, ainsi qu’à fonctionner sur du trafic échantillonné sont des critères importants. Au contraire des approches supervisées ou par signatures, la détection non-supervisée des attaques ne requiert aucune forme de connaissance préalable sur les propriétés du trafic ou des anomalies. Cette approche repose sur une caractérisation autonome du trafic en production, et ne nécessite l’intervention de l’administrateur qu’à postériori, lorsque une déviation du trafic habituel est détectée. Le problème avec de telle approches reste que construire une telle caractérisation est algorithmiquement complexe, et peut donc nécessiter des ressources de calculs conséquentes. Cette exigence, notamment lorsque la détection doit fonctionner sur des équipements réseaux aux charges fonctionnelles déjà lourdes, est dissuasive quant à l’adoption de telles approches. Ce constat nous amène à proposer un nouvel algorithme de détection non-supervisé plus économe en ressources de calcul, visant en priorité les attaques par déni de service distribuées. Sa détection repose sur la création à intervalles réguliers d’instantanés du trafic, et produit des résultats simples à interpréter, aidant le diagnostic de l’administrateur. Nous évaluons les performances de notre algorithme sur deux jeux de données pour vérifier à la fois sa capacité à détecter correctement les anomalies sans lever de faux-positifs et sa capacité à fonctionner en temps réel avec des ressources de calcul limitées, ainsi que sur du trafic échantillonné. Les résultats obtenus sont comparés à ceux de deux autres détecteurs, FastNetMon et UNADA.
Fichier principal
Vignette du fichier
ROUDIERE Gilles.pdf (2.16 Mo) Télécharger le fichier
Origine : Fichiers produits par l'(les) auteur(s)
Loading...

Dates et versions

tel-01886092 , version 1 (02-10-2018)
tel-01886092 , version 2 (12-12-2018)

Identifiants

  • HAL Id : tel-01886092 , version 1

Citer

Gilles Roudiere. Détection d’attaques sur les équipements d’accès à Internet. Réseaux et télécommunications [cs.NI]. Institut national des sciences appliquées de Toulouse, 2018. Français. ⟨NNT : ⟩. ⟨tel-01886092v1⟩
622 Consultations
1843 Téléchargements

Partager

Gmail Facebook X LinkedIn More