Conference PaperPDF Available

MTD para Proteção de Redes SDN

Authors:

Abstract and Figures

Ataques de fingerprinting constituem os primeiros passos no planejamento de ataques sofisticados em redes de computadores, como os ataques distribuídos de negação de serviço (DDoS, do inglês Distributed Denial of Service). Utilizar técnicas de alvo móvel (MTD, do inglês Moving Target Defense) em conjunto com a visão holística dos controladores das Redes Definidas por Software (SDN, do inglês Software-Defined Networking) pode prevenir diversos ataques ainda em sua fase inicial. Diante disso, o presente trabalho propõe uma solução capaz de ofuscar os endereços IP dos dispositivos em uma rede através de um mapeamento de endereços virtuais alterados dinamicamente.
Content may be subject to copyright.
MTD para Protec¸˜
ao de Redes SDN
Cristian H. Martins de Souza, T´
ulio A. Pascoal, Em´
ıdio P. Neto, Francisco S. Lima Filhoe
Felipe S. Dantas Silva
LaTARC Research Lab, Instituto Federal do Rio Grande do Norte
Critical and Extreme Security and Dependability Research Group (CritiX), Universit´
e du Luxembourg
Email: cristianmsbr@gmail.com, tulio.pascoal@uni.lu, {emidio.paiva, sales.filho, felipe.dantas}@ifrn.edu.br
Resumo—Ataques de fingerprinting constituem os primeiros
passos no planejamento de ataques sofisticados em redes de
computadores, como os ataques distribu´
ıdos de negac¸ ˜
ao de
servic¸o (DDoS, do inglˆ
es Distributed Denial of Service). Utilizar
t´
ecnicas de alvo m´
ovel (MTD, do inglˆ
es Moving Target Defense)
em conjunto com a vis˜
ao hol´
ıstica dos controladores das Redes
Definidas por Software (SDN, do inglˆ
es Software-Defined Net-
working) pode prevenir diversos ataques ainda em sua fase inicial.
Diante disso, o presente trabalho prop˜
oe uma soluc¸ ˜
ao capaz de
ofuscar os enderec¸os IP dos dispositivos em uma rede atrav´
es de
um mapeamento de enderec¸os virtuais alterados dinamicamente.
Palavras-chave—Moving Target Defense, Software-Defined
Networking, Network Fingerprinting, DDoS
I. INT RODUC¸˜
AO
O paradigma SDN tem revolucionado a maneira como se
pensa no desenvolvimento de servic¸os de rede atrav´
es do
desacoplamento do plano de dados do plano de controle. Desse
modo, um dispositivo central (denominado controlador) torna-
se respons´
avel por toda a l´
ogica da rede, enquanto os switches
tˆ
em a func¸ ˜
ao de encaminhar os pacotes de acordo com as
regras definidas pelas aplicac¸ ˜
oes implantadas no controlador
[1].
Todavia, redes SDN tamb´
em s˜
ao vulner´
aveis a v´
arios tipos
de ataques. Um dos ataques mais comum ´
e o network fin-
gerprinting, que consiste em descobrir informac¸ ˜
oes (p. ex.
enderec¸os IP) sobre os dispositivos conectadas `
a rede. Esse
tipo de investida ´
e importante para o planejamento de ataques
sofisticados, como DDoS, pois permite ao atacante selecionar
estrat´
egias e ferramentas que maximizam as chances de
sucesso do ataque [2].
Visando prevenir esses ataques em redes SDN, a adoc¸ ˜
ao
de t´
ecnicas MTD se apresenta como uma soluc¸ ˜
ao promissora,
pois permite aproveitar as capacidades de programabilidade
da infraestrutura para manipular dinamicamente o ambiente e
suas configurac¸ ˜
oes. Essas estrat´
egias permitem modificar pro-
gramaticamente a superf´
ıcie de ataque percebida pelo atacante,
limitar o conhecimento sobre a rede alvo e reduzir a chance
de realizac¸ ˜
ao de ataques bem sucedidos, ou mesmo evit´
a-los
completamente [3].
Neste sentido, o presente trabalho prop˜
oe um mecanismo
de protec¸ ˜
ao para redes SDN contra ataques de fingerprinting
utilizando a t´
ecnica MTD denominada IP randomization. Na
abordagem proposta, o controlador SDN provˆ
e dinamicamente
enderec¸os IP aos dispositivos em intervalos program´
aveis de
tempo.
Trabalhos anteriores [4]–[6] propuseram a utilizac¸ ˜
ao dessa
t´
ecnica, por´
em com algumas limitac¸ ˜
oes. Diante das lacunas
existentes (listadas a seguir), neste trabalho avanc¸amos o
estado da arte oferecendo as seguintes contribuic¸ ˜
oes:
Desenvolvimento de uma soluc¸ ˜
ao independente:
diferentemente de [6], nosso algoritmo n˜
ao requer a
configurac¸ ˜
ao de servic¸os terceiros e est´
a acoplado di-
retamente ao controlador, o que acelera o processo de
tomada de decis˜
ao, resultando em melhor performance
do servic¸o, al´
em de n˜
ao limitar o uso da ferramenta no
caso de um ataque direcionado.
Benchmarking extensivo para avaliar a eficiˆ
encia da
proposta: ao contr´
ario de [5] e [4], que avaliam suas pro-
postas considerando apenas um tipo de topologia, nossa
avaliac¸ ˜
ao tem como objetivo apresentar a efetividade do
mecanismo proposto em diferentes cen´
arios. Para tal fim,
realizamos testes extensivos considerando topologias de
tamanhos arbitr´
arios.
II. METODOLOGIA
Com o intuito de diminuir a superf´
ıcie de ataque contra
fingerprinting e outras ameac¸as, a atribuic¸ ˜
ao de IPs aleat´
orios
pode ser bastante eficaz para evitar e mitigar diferentes tipos de
ataques, uma vez que as informac¸ ˜
oes coletadas pelo atacante
n˜
ao ser˜
ao mais v´
alidas ap´
os um intervalo de tempo.
O algoritmo proposto aloca IPs virtuais aos dispositivos
conectados e bloqueia o tr´
afego gerado para os IPs reais.
A randomizac¸ ˜
ao dos enderec¸os ocorre em intervalos pr´
e-
definidos, mas tamb´
em pode ser acionada a qualquer momento
(atrav´
es de um IDS, por exemplo). Destacamos a possibilidade
de customizac¸ ˜
ao da ferramenta para redes de diferentes taman-
hos.
Implementamos o mecanismo utilizando o Ryu SDN Frame-
work, visto que ´
e um controlador leve, de f´
acil prototipac¸ ˜
ao
e com uma ampla documentac¸ ˜
ao. A infraestrutura de rede
foi virtualizada atrav´
es do emulador Mininet. O processo de
randomizac¸ ˜
ao dos IPs ´
e acionado a cada 60s e, no pior cen´
ario
considerado (512 dispositivos) leva, em m´
edia, 0.038s para ser
completado.
Conduzimos os experimentos em um dispositivo Dell In-
spiron I14-5457-A30, com processador Intel Core i7-6500U
e 8GB de mem´
oria RAM. Foi utilizado o ambiente Docker
em um sistema Ubuntu 18.04.2 LTS para utilizac¸ ˜
ao do Ryu
e Mininet em forma de contˆ
eineres. Al´
em disso, utilizamos
Fig. 1. Efetividade do ataque em diferentes intervalos de tempo.
o protocolo OpenFlow para comunicac¸ ˜
ao com o plano de
encaminhamento.
A. Modelo de Ameac¸a
Para o processo de coleta de dados e comparac¸ ˜
ao com o es-
tado da arte utilizamos o software Nmap. Para acelerar a coleta
de informac¸ ˜
oes em redes mais densas, atribu´
ımos os limites
m´
aximos de paralelismo recomendados pela documentac¸ ˜
ao
do Nmap. Al´
em disso, configuramos o Nmap para realizar
a varredura de enderec¸os em faixas aleat´
orias, uma vez que a
ferramenta desenvolvida realiza a alocac¸˜
ao de IPs em toda a
faixa de enderec¸os da rede.
B. Topologia
Para avanc¸ar o estado da arte, realizamos uma avaliac¸ ˜
ao
mais extensa e realista, considerando trˆ
es diferentes cen´
arios
de acordo com a quantidade de dispositivos na rede. Portanto,
utilizamos topologias em ´
arvore com 128, 256 e 512 disposi-
tivos para cada teste. Em todos os cen´
arios utilizamos apenas
uma instˆ
ancia do controlador Ryu e um dispositivo servindo
como atacante.
III. RES ULTAD OS
Para comprovar a efetividade do mecanismo em ocultar
as reais informac¸ ˜
oes dos dispositivos, monitoramos a rede
durante um per´
ıodo de 30 minutos e executamos 10 testes para
cada topologia. Conforme a Figura 1, o mecanismo ´
e capaz
de ofuscar boa parte das informac¸ ˜
oes, com o atacante nunca
conseguindo obter os dados completos sobre a rede alvo.
Quantitativamente, o atacante foi capaz de reconhecer, em
m´
edia, apenas 0.78% dos enderec¸os v´
alidos no primeiro
cen´
ario. No segundo cen´
ario, o mesmo obteve 1.46% de
taxa de sucesso. J´
a no terceiro cen´
ario, apenas 2.7% dos
dispositivos foram encontrados.
De acordo com os resultados obtidos, observamos que o
conhecimento do atacante ´
e limitado e v´
alido apenas durante
um per´
ıodo de 60s, no melhor caso. Desse modo, ´
e invi´
avel a
posterior execuc¸ ˜
ao de ataques mais sofisticados e prejudiciais,
como DDoS, restando apenas a opc¸ ˜
ao de executar uma nova
varredura com baixas perspectivas de obtenc¸ ˜
ao de informac¸ ˜
oes
sobre a rede.
Portanto constatamos que, diferentemente dos trabalhos an-
teriores, nossa soluc¸ ˜
ao apresenta maior eficiˆ
encia e escalabili-
dade. Destacamos tamb´
em a necessidade de uma padronizac¸ ˜
ao
para se testar ferramentas semelhantes, com o objetivo de
realizar uma comparac¸ ˜
ao mais justa entre as propostas. Desse
modo, um bom ponto de partida pode ser a utilizac¸ ˜
ao de
diferentes topologias, o que ´
e uma deficiˆ
encia no estado da
arte.
IV. CON CLU S ˜
OE S E TRA BALH OS FU TU ROS
Nesse trabalho, ´
e apresentada uma proposta para protec¸ ˜
ao
de redes SDN na qual os enderec¸os dos dispositivos ativos
s˜
ao randomizados em intervalos de tempo, com o objetivo de
confundir um poss´
ıvel atacante em ataques de fingerprinting.
Atrav´
es dos resultados, ´
e poss´
ıvel perceber que a ferramenta
cumpre o seu papel em dificultar a coleta de informac¸ ˜
oes
por parte do atacante, al´
em de n˜
ao demandar muito tempo
para realizar as operac¸ ˜
oes de gerar e mapear novos IPs aos
dispositivos. Entretanto, caso um atacante passe a monitorar
os enderec¸os MAC dos dispositivos, ´
e poss´
ıvel que ele consiga
realizar um ataque caso tenha um enderec¸o MAC espec´
ıfico
como alvo.
Em trabalhos futuros pretendemos formalizar uma m´
etrica
para a definic¸ ˜
ao do parˆ
amero de randomizac¸ ˜
ao da rede,
baseando-se em alguns parˆ
ametros como: tamanho da rede,
tipo de topologia, tipo de servic¸o e m´
etricas de Qualidade de
Servic¸o (QoS). Tamb´
em pretendemos considerar a efetividade
da ferramenta em cen´
arios com m´
ultiplos atacantes na rede.
Al´
em disso, pretendemos avaliar o funcionamento de outras
t´
ecnicas de MTD contra diferentes tipos de ataques em redes
SDN.
REF ER ˆ
ENCIAS
[1] D. Kreutz, F. M. V. Ramos, P. E. Ver´
ıssimo, C. E. Rothenberg, S. Azodol-
molky, and S. Uhlig, “Software-defined networking: A comprehensive
survey,” Proceedings of the IEEE, vol. 103, no. 1, pp. 14–76, Jan 2015.
[2] F. S. Dantas Silva, E. Silva, E. P. Neto, M. Lemos, A. J.
Venancio Neto, and F. Esposito, “A taxonomy of ddos attack
mitigation approaches featured by sdn technologies in iot scenarios,”
Sensors, vol. 20, no. 11, p. 3078, May 2020. [Online]. Available:
http://dx.doi.org/10.3390/s20113078
[3] S. Jajodia, A. K. Ghosh, V. Swarup, C. Wang, and X. S. Wang,
Moving target defense: creating asymmetric uncertainty for cyber threats.
Springer Science & Business Media, 2011, vol. 54.
[4] J. H. Jafarian, E. Al-Shaer, and Q. Duan, “Openflow random host
mutation: transparent moving target defense using software defined net-
working,” in Proceedings of the first workshop on Hot topics in software
defined networks, 2012, pp. 127–132.
[5] P. Kampanakis, H. Perros, and T. Beyene, “Sdn-based solutions for
moving target defense network protection,” in Proceeding of IEEE
International Symposium on a World of Wireless, Mobile and Multimedia
Networks 2014. IEEE, 2014, pp. 1–6.
[6] D. C. MacFarland and C. A. Shue, “The sdn shuffle: creating a moving-
target defense using host-based software-defined networking,” in Proceed-
ings of the Second ACM Workshop on Moving Target Defense, 2015, pp.
37–41.
ResearchGate has not been able to resolve any citations for this publication.
Article
Full-text available
The Internet of Things (IoT) has attracted much attention from the Information and Communication Technology (ICT) community in recent years. One of the main reasons for this is the availability of techniques provided by this paradigm, such as environmental monitoring employing user data and everyday objects. The facilities provided by the IoT infrastructure allow the development of a wide range of new business models and applications (e.g., smart homes, smart cities, or e-health). However, there are still concerns over the security measures which need to be addressed to ensure a suitable deployment. Distributed Denial of Service (DDoS) attacks are among the most severe virtual threats at present and occur prominently in this scenario, which can be mainly owed to their ease of execution. In light of this, several research studies have been conducted to find new strategies as well as improve existing techniques and solutions. The use of emerging technologies such as those based on the Software-Defined Networking (SDN) paradigm has proved to be a promising alternative as a means of mitigating DDoS attacks. However, the high granularity that characterizes the IoT scenarios and the wide range of techniques explored during the DDoS attacks make the task of finding and implementing new solutions quite challenging. This problem is exacerbated by the lack of benchmarks that can assist developers when designing new solutions for mitigating DDoS attacks for increasingly complex IoT scenarios. To fill this knowledge gap, in this study we carry out an in-depth investigation of the state-of-the-art and create a taxonomy that describes and characterizes existing solutions and highlights their main limitations. Our taxonomy provides a comprehensive view of the reasons for the deployment of the solutions, and the scenario in which they operate. The results of this study demonstrate the main benefits and drawbacks of each solution set when applied to specific scenarios by examining current trends and future perspectives, for example, the adoption of emerging technologies based on Cloud and Edge (or Fog) Computing.
Article
Full-text available
Software-Defined Networking (SDN) is an emerging paradigm that promises to change the state of affairs of current networks, by breaking vertical integration, separating the network's control logic from the underlying routers and switches, promoting (logical) centralization of network control, and introducing the ability to program the network. The separation of concerns introduced between the definition of network policies, their implementation in switching hardware, and the forwarding of traffic, is key to the desired flexibility: by breaking the network control problem into tractable pieces, SDN makes it easier to create and introduce new abstractions in networking, simplifying network management and facilitating network evolution. Today, SDN is both a hot research topic and a concept gaining wide acceptance in industry, which justifies the comprehensive survey presented in this paper. We start by introducing the motivation for SDN, explain its main concepts and how it differs from traditional networking. Next, we present the key building blocks of an SDN infrastructure using a bottom-up, layered approach. We provide an in-depth analysis of the hardware infrastructure, southbound and northbounds APIs, network virtualization layers, network operating systems, network programming languages, and management applications. We also look at cross-layer problems such as debugging and troubleshooting. In an effort to anticipate the future evolution of this new paradigm, we discuss the main ongoing research efforts and challenges of SDN. In particular, we address the design of switches and control platforms -- with a focus on aspects such as resiliency, scalability, performance, security and dependability -- as well as new opportunities for carrier transport networks and cloud providers. Last but not least, we analyze the position of SDN as a key enabler of a software-defined environment.
Book
Moving Target Defense: Creating Asymmetric Uncertainty for Cyber Threats was developed by a group of leading researchers. It describes the fundamental challenges facing the research community and identifies new promising solution paths. Moving Target Defense which is motivated by the asymmetric costs borne by cyber defenders takes an advantage afforded to attackers and reverses it to advantage defenders. Moving Target Defense is enabled by technical trends in recent years, including virtualization and workload migration on commodity systems, widespread and redundant network connectivity, instruction set and address space layout randomization, just-in-time compilers, among other techniques. However, many challenging research problems remain to be solved, such as the security of virtualization infrastructures, secure and resilient techniques to move systems within a virtualized environment, automatic diversification techniques, automated ways to dynamically change and manage the configurations of systems and networks, quantification of security improvement, potential degradation and more. Moving Target Defense: Creating Asymmetric Uncertainty for Cyber Threats is designed for advanced -level students and researchers focused on computer science, and as a secondary text book or reference. Professionals working in this field will also find this book valuable.
Conference Paper
Software-Defined Networking (SDN) allows network capabilities and services to be managed through a central control point. Moving Target Defense (MTD) on the other hand, introduces a constantly adapting environment in order to delay or prevent attacks on a system. MTD is a use case where SDN can be leveraged in order to provide attack surface obfuscation. In this paper, we investigate how SDN can be used in some network-based MTD techniques. We first describe the advantages and disadvantages of these techniques, the potential countermeasures attackers could take to circumvent them, and the overhead of implementing MTD using SDN. Subsequently, we study the performance of the SDN-based MTD methods using Cisco's One Platform Kit and we show that they significantly increase the attacker's overheads.
Openflow random host mutation: transparent moving target defense using software defined networking
  • J H Jafarian
  • E Al-Shaer
  • Q Duan
J. H. Jafarian, E. Al-Shaer, and Q. Duan, "Openflow random host mutation: transparent moving target defense using software defined networking," in Proceedings of the first workshop on Hot topics in software defined networks, 2012, pp. 127-132.
The sdn shuffle: creating a movingtarget defense using host-based software-defined networking
  • D C Macfarland
  • C A Shue
D. C. MacFarland and C. A. Shue, "The sdn shuffle: creating a movingtarget defense using host-based software-defined networking," in Proceedings of the Second ACM Workshop on Moving Target Defense, 2015, pp. 37-41.