Αντιμετώπιση Κατανεμημένων Επιθέσεων Μεγάλης Κλίμακας στο Σύστημα Ονοματοδοσίας Τομέων

Κωστόπουλος, Νικόλαος; Kostopoulos, Nikolaos

dc.contributor.author	Κωστόπουλος, Νικόλαος	el
dc.contributor.author	Kostopoulos, Nikolaos	en
dc.date.accessioned	2017-12-12T09:29:31Z
dc.date.available	2017-12-12T09:29:31Z
dc.date.issued	2017-12-12
dc.identifier.uri	https://dspace.lib.ntua.gr/xmlui/handle/123456789/46069
dc.identifier.uri	http://dx.doi.org/10.26240/heal.ntua.14610
dc.rights	Αναφορά Δημιουργού-Μη Εμπορική Χρήση-Όχι Παράγωγα Έργα 3.0 Ελλάδα	*
dc.rights.uri	http://creativecommons.org/licenses/by-nc-nd/3.0/gr/	*
dc.subject	Σύστημα Ονοματοδοσίας Τομέων	el
dc.subject	Επίθεση DNS water torture	el
dc.subject	Κατανεμημένες επιθέσεις άρνησης παροχής υπηρεσιών	el
dc.subject	Δίκτυα Οριζόμενα από Λογισμικό	el
dc.subject	Μηχανική μάθηση	el
dc.subject	Φίλτρο bloom	el
dc.subject	Domain Name System (DNS)	en
dc.subject	DNS water torture attacks	en
dc.subject	Distributed Denial of Service attacks (DDoS)	en
dc.subject	Software Defined Networks (SDN)	en
dc.subject	Machine learning	en
dc.subject	Bloom filter	en
dc.title	Αντιμετώπιση Κατανεμημένων Επιθέσεων Μεγάλης Κλίμακας στο Σύστημα Ονοματοδοσίας Τομέων	el
heal.type	bachelorThesis
heal.classification	ΔΙΑΧΕΙΡΙΣΗ ΚΑΙ ΑΣΦΑΛΕΙΑ ΔΙΚΤΥΩΝ	el
heal.classificationURI	http://data.seab.gr/concepts/f3ed7a76a59b49532b81297e7eec894d86318f94
heal.language	el
heal.access	free
heal.recordProvider	ntua	el
heal.publicationDate	2017-09-27
heal.abstract	Το Σύστημα Ονοματοδοσίας Τομέων (Domain Name System, DNS) παρέχει αντιστοίχιση ονομάτων υπολογιστών σε διευθύνσεις IP και αντίστροφα. Η σωστή λειτουργία του είναι ζωτική για την ομαλή λειτουργία του διαδικτύου. Είναι φυσικό, λοιπόν, να αποτελεί υποψήφιο στόχο των Κατανεμημένων Επιθέσεων Άρνησης Παροχής Υπηρεσιών (Distributed Denial of Service Attacks, DDoS attacks). Μία διαδεδομένη και πολύ αποτελεσματική επίθεση DDoS κατά του DNS είναι η επίθεση water torture, που έχει ως στόχο τον αρμόδιο (authoritative) εξυπηρετητή μιας ζώνης DNS. Ο επιτιθέμενος πλημμυρίζει τον εξυπηρετητή με μεγάλο όγκο ερωτημάτων για να εξαντλήσει την υπολογιστική ισχύ του και να τον καταστήσει ανίκανο να απαντά σε ερωτήματα νομίμων πελατών. Τα ερωτήματα αυτά περιλαμβάνουν ονόματα τυχαίας μορφής, τα οποία είναι βέβαιο πως δεν περιέχονται στα αρχεία ζώνης του εξυπηρετητή. Έτσι, επιτυγχάνεται η παράκαμψη της προσωρινής μνήμης (DNS cache) των αναδρομικών (recursive) εξυπηρετητών που προωθούν την κίνηση, εξασφαλίζοντας ότι όλα τα κακόβουλα μηνύματα θα φτάσουν στο θύμα. Σε αυτήν την εργασία αναπτύχθηκε μηχανισμός ανίχνευσης και αντιμετώπισης μιας τέτοιας επίθεσης σε περιβάλλον δικτύου οριζομένου από λογισμικό (Software Defined Network, SDN). Πληροφορίες σχετικές με τον εξυπηρετητή και το δίκτυο συλλέγονται από ένα μηχανισμό παρακολούθησης. Έπειτα, ένας μηχανισμός ανίχνευσης μη ομαλής κίνησης αποφαίνεται εάν o εξυπηρετητής κινδυνεύει ή όχι. Στην πρώτη περίπτωση, ο ελεγκτής SDN εγκαθιστά κανόνες στο μεταγωγέα (switch) του δικτύου, ώστε ερωτήματα από IPs που έχουν χαρακτηριστεί ως κακόβουλες να οδηγούνται σε μία μονάδα αντιμετώπισης. Τα τυχαίας μορφής ερωτήματα απορρίπτονται και τα έγκυρα προωθούνται στον εξυπηρετητή. Ειδικότερα, οι πληροφορίες συγκεντρώνονται χρησιμοποιώντας δειγματοληψία πακέτων και λογισμικό συλλογής στατιστικών δεδομένων. Η μονάδα ανίχνευσης κινδύνου βασίζεται σε έναν αλγόριθμο μηχανικής μάθησης (machine learning) και η μονάδα που πραγματοποιεί το φιλτράρισμα των ερωτημάτων βασίζεται σε ένα σύνολο από φίλτρα bloom (bloom filters). Τo bloom filter είναι μία χωρικά αποδοτική αποθηκευτική δομή, που επιτρέπει να ελεγχθεί ταχύτατα εάν κάτι βρίσκεται αποθηκευμένο σε αυτό ή όχι με μηδενικά false negatives και μικρή πιθανότητα από false positives. Κύριος στόχος της εργασίας είναι να εξετάσει εάν τα bloom filters μπορούν να προστατεύσουν αποτελεσματικά authoritative εξυπηρετητές από επιθέσεις DNS water torture. Ο μηχανισμός αυτός έχει τη δυνατότητα να προσαρμοστεί και σε recursive εξυπηρετητές ως μέρος ενός συνεργατικού σχήματος άμυνας κοντά στις πηγές της επίθεσης.	el
heal.abstract	Domain Name System (DNS) provides associations between hostnames and IP addresses. Therefore, its proper function is vital for the normal operation of the internet. Thus, it is a potential target of Distributed Denial of Service attacks (DDoS attacks). A well-known and highly effective DDoS attack against DNS is water torture which targets the authoritative server of a DNS zone. The attacker floods the server with great volume of requests in order to exhaust its computation power and make it incapable of responding to the requests of legitimate clients. These requests contain random names which are not included in the zone files of the server. In this way, the DNS cache of recursive servers can be bypassed and the malicious messages will surely reach the victim. In this thesis, a mechanism capable of detecting and mitigating such an attack was constructed in a Software Defined Networking (SDN) environment. Metrics regarding the server and the network are collected by a monitoring mechanism. Afterwards, an anomaly detection mechanism decides whether the network is in danger or not. In the former case, the SDN controller installs rules to the switch of the network, so that requests from IPs considered malicious are driven to a mitigation mechanism. Random requests are dropped and valid requests are forwarded to the server. In particular, information is gathered by utilizing sampling and statistics collection software. Danger detection unit is based on a machine learning algorithm and the unit which filters the requests is based on a bloom filter cluster. A bloom filter is a space-efficient hashtable, that allows to quickly examine if an element is stored in it with zero false negatives and a small probability of false positives. The main purpose of this thesis is to examine whether bloom filters can efficiently protect authoritative servers from DNS water torture attacks. This mechanism can also be adapted to recursive servers as part of a collaborative defence scheme near the source of the attack.	en
heal.advisorName	Μάγκλαρης, Βασίλειος	el
heal.committeeMemberName	Μάγκλαρης, Βασίλειος	el
heal.committeeMemberName	Παπαβασιλείου, Συμεών	el
heal.committeeMemberName	Συκάς, Ευστάθιος	el
heal.academicPublisher	Εθνικό Μετσόβιο Πολυτεχνείο. Σχολή Ηλεκτρολόγων Μηχανικών και Μηχανικών Υπολογιστών	el
heal.academicPublisherID	ntua
heal.numberOfPages	121 σ.	el
heal.fullTextAvailability	true