Ανίχνευση και πρόληψη επιθέσεων άρνησης εξυπηρέτησης στα πρωτόκολλα SIP και SDP

Abstract

Οι πολυμεσικές υπηρεσίες που παρέχονται μέσω του Διαδικτύου, και συγκεκριμένα αυτές που αξιοποιούν το πρωτόκολλο SIP για τη διαχείριση της σηματοδοσίας, συνεχίζουν να αναπτύσσονται ραγδαία. Επιπρόσθετα, οι εν λόγω υπηρεσίες αποτελούν ένα από τα βασικά δομικά στοιχεία των δικτύων ύστερων γενεών (5G). Ανεξαρτήτως του ρυθμού ανάπτυξης τους, οι πολυμεσικές υπηρεσίες που αξιοποιούν το SIP παρουσιάζουν μια ευρεία επιφάνεια ευπαθειών, καθιστώντας τις αντίστοιχες υπηρεσίες επιρρεπείς σε ένα μεγάλο σύνολο επιθέσεων. Μεταξύ αυτών, οι επιθέσεις άρνησης εξυπηρέτησης ανήκουν στην κατηγορία ισχυρότερων και καταστρεπτικότερων, καθώς στοχεύουν στην κατανάλωση των πόρων των εμπλεκομένων συστημάτων και δικτύων, με σκοπό να τα παραλύσουν και να προκαλέσουν δυσαρέσκεια στον τελικό χρήστη. Μέχρι στιγμής, η βιβλιογραφία στο συγκεκριμένο ερευνητικό πεδίο εμφανίζει ένα σημαντικό πλήθος εργασιών με σκοπό την ανίχνευση, την αποτροπή και την ελαχιστοποίηση των επιπτώσεων των επιθέσεων άρνησης εξυπηρέτησης. Συνολικά, αν και η συγκεκριμένη περιοχή έχει μελετηθεί εκτενώς στη βιβλιογραφία, φαίνεται να υπάρχει ένα σημαντικό κενό αναφορικά με την αποτίμηση των μεθόδων ή/και πλαισίων ασφαλείας, και την αξιολόγηση τους, όταν αυτά λειτουργούν τόσο σε πραγματικό, όσο και σε μη πραγματικό χρόνο. Επιπρόσθετα, μόνο ένα μικρό σύνολο των εν λόγω εργασιών ασχολείται με την εφαρμογή τεχνικών μηχανικής μάθησης για την ανίχνευση περιστατικών άρνησης εξυπηρέτησης σε περιβάλλοντα SIP. Τέλος, ενώ το μεγαλύτερο μέρος της σχετικής βιβλιογραφίας ασχολείται με τις επιθέσεις άρνησης εξυπηρέτησης που έχουν ώς φορέα τις κεφαλίδες των μηνυμάτων SIP, ελάχιστες εξετάζουν το κυρίως σώμα του μηνύματος. Επιπλέον, ενώ μέχρι τώρα ένας σημαντικός όγκος των σχετικών εργασιών στην παρούσα ερευνητική περιοχή ασχολούνται με επιθέσεις στο πρωτόκολλο SIP, ελάχιστες από αυτές ασχολούνται με τη δημιουργία συγκεκαλυμμένων καναλιών, και καμία με την αξιοποίηση του πρωτοκόλλου SDP ως φορέα αυτών. Η σημαντικότερη συνεισφορά της παρούσας διατριβής αφορά στην ανάπτυξη και το σχεδιασμό ενός συστήματος ανίχνευσης εισβολών, με σκοπό την καταπολέμηση κατανεμημένων επιθέσεων άρνησης εξυπηρέτησης στο SIP. Ο στόχος αυτός, εκπληρώνεται με το σχεδιασμό και την ανάπτυξη μηχανισμών ανίχνευσης εισβολών που βασίζονται στην ανάλυση αρχείων λογιστικών καταγραφών του δικτύου στο επίπεδο εφαρμογής. Τα αρχεία αυτά θεωρούνται μια πλούσια πηγή πληροφορίας αναφορικά με την ανίνευση περιστατικών άρνησης εξυπηρέτησης, καθώς και για την γενικότερη αξιολόγηση του επιπέδου ασφαλείας ενός συστήματος. Συγκεκριμένα, σχεδιάζουμε, υλοποιούμε και αξιολογούμε μια υπηρεσία ανίχνευσης εισβολών που επιπλέον διατηρεί την ιδιωτικότητα του τελικού χρήστη με γνώμονα την ιδιωτικότητα, για την αξιολόγηση επιθέσεων άρνησης εξυπηρέτησηςη ενός παρόχου υπηρεσιών VoIP, είτε εξετάζοντας αρχεία λογιστικών καταγραφών, ή εξετάζοντας τη δικτυακή κίνηση σε πραγματικό χρόνο. Για να επιτευχθεί αυτό, αξιοποιούμε δύο στατιστικές μεθόδους που βασιζονται στην εντροπία και την απόσταση Hellinger. Μια δεύτερη συνεισφορά της παρούσας διατριβής επικεντρώνεται στην αξιολόγηση της εφαρμογής πέντε διαφορετικών τεχνικών μηχανικής μάθησης, με σκοπό την καταπολέμηση των επιθέσεων κατανεμημένης άρνησης εξυπηρέτησης. Στην αξιολόγηση των μεθόδων μας λαμβάνουμε υπόψη επιθέσεις τόσο υψηλού όσο και χαμηλού όγκου δεδομένων και ρυθμών μετάδοσης μηνυμάτων. Επιπρόσθετα, στο πλαίσιο της ανάλυσης μας, και για την περίπτωση των κατανεμημένων επιθέσεων άρνησης εξυπηρέτησης, συγκρίνουμε τις επιδόσεις του συστήματος με αυτές που παρήχθησαν κατά την εφαρμογή των στατιστικών μεθόδων, δηλαδή της εντροπίας και της απόστασης Hellinger. Υπό αυτό το πρίσμα, εξετάζουμε τις ακόλουθες δύο βασικές κατηγορίες επιθέσεων (α) αυτές που χρησιμοποιούν το πρωτόκολλο SDP - το οποίο αξιοποιείται από το SIP - ως φορέα προκειμένου να μεταφέρουν κρυφή πληροφορία, και (β) αυτές που αξιοποιούν συγκεκριμένα τμήματα ενός μηνύματος SDP με σκοπό να προκαλέσουν άρνηση εξυπηρέτησης στα εμπλεκόμενα συστήματα ή/και στον χρήστη της υπηρεσίας. Ως παράδειγμα του πρώτου τύπου επιθέσεων παρουσιάζουμε και αξιολογούμε τη λειτουργία ενός απλού αλλά ιδιαίτερα αποτελεσματικού κρυφού καναλιού επικοινωνίας, το οποίο βασίζεται αποκλειστικά στο πρωτόκολλο SDP, για την επικοινωνία μολυσμένων συσκευών (ρομπότ) μεταξύ τους ή με τον διακομιστή εντολών (C\&C). Σε αυτό το πλαίσιο, όχι μόνο εξερευνούμε αυτή την κατηγορία επιθέσεων, αλλά επίσης καταδεικνύουμε την επίδραση τους στον τελικό χρήστη. Επιπρόσθετα, υλοποιούμε ένα επεκτάσιμο άρθρωμα ανοιχτού λογισμικού, ικανό να ανιχνεύει εκούσια ή ακούσια αλλοιωμένα μηνύματα SDP, τα οποία παρασιτούν στα μηνύματα SIP. Ακολουθώντας μια λογική παρόμοια με αυτή ενός αναχώματος ασφαλείας, το εν λόγω άρθρωμα λογισμικού μέχρι στιγμής ενσωματώνει 100 διαφορετικούς κανόνες, οργανωμένους σε 4 κατηγορίες (πολιτικές) σύμφωνα με το RFC 4566.