Content uploaded by Cristian H. Martins de Souza
Author content
All content in this area was uploaded by Cristian H. Martins de Souza on Dec 08, 2020
Content may be subject to copyright.
MTD para Protec¸˜
ao de Redes SDN
Cristian H. Martins de Souza∗, T´
ulio A. Pascoal†, Em´
ıdio P. Neto∗, Francisco S. Lima Filho∗e
Felipe S. Dantas Silva∗
∗LaTARC Research Lab, Instituto Federal do Rio Grande do Norte
†Critical and Extreme Security and Dependability Research Group (CritiX), Universit´
e du Luxembourg
Email: cristianmsbr@gmail.com, tulio.pascoal@uni.lu, {emidio.paiva, sales.filho, felipe.dantas}@ifrn.edu.br
Resumo—Ataques de fingerprinting constituem os primeiros
passos no planejamento de ataques sofisticados em redes de
computadores, como os ataques distribu´
ıdos de negac¸ ˜
ao de
servic¸o (DDoS, do inglˆ
es Distributed Denial of Service). Utilizar
t´
ecnicas de alvo m´
ovel (MTD, do inglˆ
es Moving Target Defense)
em conjunto com a vis˜
ao hol´
ıstica dos controladores das Redes
Definidas por Software (SDN, do inglˆ
es Software-Defined Net-
working) pode prevenir diversos ataques ainda em sua fase inicial.
Diante disso, o presente trabalho prop˜
oe uma soluc¸ ˜
ao capaz de
ofuscar os enderec¸os IP dos dispositivos em uma rede atrav´
es de
um mapeamento de enderec¸os virtuais alterados dinamicamente.
Palavras-chave—Moving Target Defense, Software-Defined
Networking, Network Fingerprinting, DDoS
I. INT RODUC¸˜
AO
O paradigma SDN tem revolucionado a maneira como se
pensa no desenvolvimento de servic¸os de rede atrav´
es do
desacoplamento do plano de dados do plano de controle. Desse
modo, um dispositivo central (denominado controlador) torna-
se respons´
avel por toda a l´
ogica da rede, enquanto os switches
tˆ
em a func¸ ˜
ao de encaminhar os pacotes de acordo com as
regras definidas pelas aplicac¸ ˜
oes implantadas no controlador
[1].
Todavia, redes SDN tamb´
em s˜
ao vulner´
aveis a v´
arios tipos
de ataques. Um dos ataques mais comum ´
e o network fin-
gerprinting, que consiste em descobrir informac¸ ˜
oes (p. ex.
enderec¸os IP) sobre os dispositivos conectadas `
a rede. Esse
tipo de investida ´
e importante para o planejamento de ataques
sofisticados, como DDoS, pois permite ao atacante selecionar
estrat´
egias e ferramentas que maximizam as chances de
sucesso do ataque [2].
Visando prevenir esses ataques em redes SDN, a adoc¸ ˜
ao
de t´
ecnicas MTD se apresenta como uma soluc¸ ˜
ao promissora,
pois permite aproveitar as capacidades de programabilidade
da infraestrutura para manipular dinamicamente o ambiente e
suas configurac¸ ˜
oes. Essas estrat´
egias permitem modificar pro-
gramaticamente a superf´
ıcie de ataque percebida pelo atacante,
limitar o conhecimento sobre a rede alvo e reduzir a chance
de realizac¸ ˜
ao de ataques bem sucedidos, ou mesmo evit´
a-los
completamente [3].
Neste sentido, o presente trabalho prop˜
oe um mecanismo
de protec¸ ˜
ao para redes SDN contra ataques de fingerprinting
utilizando a t´
ecnica MTD denominada IP randomization. Na
abordagem proposta, o controlador SDN provˆ
e dinamicamente
enderec¸os IP aos dispositivos em intervalos program´
aveis de
tempo.
Trabalhos anteriores [4]–[6] propuseram a utilizac¸ ˜
ao dessa
t´
ecnica, por´
em com algumas limitac¸ ˜
oes. Diante das lacunas
existentes (listadas a seguir), neste trabalho avanc¸amos o
estado da arte oferecendo as seguintes contribuic¸ ˜
oes:
•Desenvolvimento de uma soluc¸ ˜
ao independente:
diferentemente de [6], nosso algoritmo n˜
ao requer a
configurac¸ ˜
ao de servic¸os terceiros e est´
a acoplado di-
retamente ao controlador, o que acelera o processo de
tomada de decis˜
ao, resultando em melhor performance
do servic¸o, al´
em de n˜
ao limitar o uso da ferramenta no
caso de um ataque direcionado.
•Benchmarking extensivo para avaliar a eficiˆ
encia da
proposta: ao contr´
ario de [5] e [4], que avaliam suas pro-
postas considerando apenas um tipo de topologia, nossa
avaliac¸ ˜
ao tem como objetivo apresentar a efetividade do
mecanismo proposto em diferentes cen´
arios. Para tal fim,
realizamos testes extensivos considerando topologias de
tamanhos arbitr´
arios.
II. METODOLOGIA
Com o intuito de diminuir a superf´
ıcie de ataque contra
fingerprinting e outras ameac¸as, a atribuic¸ ˜
ao de IPs aleat´
orios
pode ser bastante eficaz para evitar e mitigar diferentes tipos de
ataques, uma vez que as informac¸ ˜
oes coletadas pelo atacante
n˜
ao ser˜
ao mais v´
alidas ap´
os um intervalo de tempo.
O algoritmo proposto aloca IPs virtuais aos dispositivos
conectados e bloqueia o tr´
afego gerado para os IPs reais.
A randomizac¸ ˜
ao dos enderec¸os ocorre em intervalos pr´
e-
definidos, mas tamb´
em pode ser acionada a qualquer momento
(atrav´
es de um IDS, por exemplo). Destacamos a possibilidade
de customizac¸ ˜
ao da ferramenta para redes de diferentes taman-
hos.
Implementamos o mecanismo utilizando o Ryu SDN Frame-
work, visto que ´
e um controlador leve, de f´
acil prototipac¸ ˜
ao
e com uma ampla documentac¸ ˜
ao. A infraestrutura de rede
foi virtualizada atrav´
es do emulador Mininet. O processo de
randomizac¸ ˜
ao dos IPs ´
e acionado a cada 60s e, no pior cen´
ario
considerado (512 dispositivos) leva, em m´
edia, 0.038s para ser
completado.
Conduzimos os experimentos em um dispositivo Dell In-
spiron I14-5457-A30, com processador Intel Core i7-6500U
e 8GB de mem´
oria RAM. Foi utilizado o ambiente Docker
em um sistema Ubuntu 18.04.2 LTS para utilizac¸ ˜
ao do Ryu
e Mininet em forma de contˆ
eineres. Al´
em disso, utilizamos
Fig. 1. Efetividade do ataque em diferentes intervalos de tempo.
o protocolo OpenFlow para comunicac¸ ˜
ao com o plano de
encaminhamento.
A. Modelo de Ameac¸a
Para o processo de coleta de dados e comparac¸ ˜
ao com o es-
tado da arte utilizamos o software Nmap. Para acelerar a coleta
de informac¸ ˜
oes em redes mais densas, atribu´
ımos os limites
m´
aximos de paralelismo recomendados pela documentac¸ ˜
ao
do Nmap. Al´
em disso, configuramos o Nmap para realizar
a varredura de enderec¸os em faixas aleat´
orias, uma vez que a
ferramenta desenvolvida realiza a alocac¸˜
ao de IPs em toda a
faixa de enderec¸os da rede.
B. Topologia
Para avanc¸ar o estado da arte, realizamos uma avaliac¸ ˜
ao
mais extensa e realista, considerando trˆ
es diferentes cen´
arios
de acordo com a quantidade de dispositivos na rede. Portanto,
utilizamos topologias em ´
arvore com 128, 256 e 512 disposi-
tivos para cada teste. Em todos os cen´
arios utilizamos apenas
uma instˆ
ancia do controlador Ryu e um dispositivo servindo
como atacante.
III. RES ULTAD OS
Para comprovar a efetividade do mecanismo em ocultar
as reais informac¸ ˜
oes dos dispositivos, monitoramos a rede
durante um per´
ıodo de 30 minutos e executamos 10 testes para
cada topologia. Conforme a Figura 1, o mecanismo ´
e capaz
de ofuscar boa parte das informac¸ ˜
oes, com o atacante nunca
conseguindo obter os dados completos sobre a rede alvo.
Quantitativamente, o atacante foi capaz de reconhecer, em
m´
edia, apenas 0.78% dos enderec¸os v´
alidos no primeiro
cen´
ario. No segundo cen´
ario, o mesmo obteve 1.46% de
taxa de sucesso. J´
a no terceiro cen´
ario, apenas 2.7% dos
dispositivos foram encontrados.
De acordo com os resultados obtidos, observamos que o
conhecimento do atacante ´
e limitado e v´
alido apenas durante
um per´
ıodo de 60s, no melhor caso. Desse modo, ´
e invi´
avel a
posterior execuc¸ ˜
ao de ataques mais sofisticados e prejudiciais,
como DDoS, restando apenas a opc¸ ˜
ao de executar uma nova
varredura com baixas perspectivas de obtenc¸ ˜
ao de informac¸ ˜
oes
sobre a rede.
Portanto constatamos que, diferentemente dos trabalhos an-
teriores, nossa soluc¸ ˜
ao apresenta maior eficiˆ
encia e escalabili-
dade. Destacamos tamb´
em a necessidade de uma padronizac¸ ˜
ao
para se testar ferramentas semelhantes, com o objetivo de
realizar uma comparac¸ ˜
ao mais justa entre as propostas. Desse
modo, um bom ponto de partida pode ser a utilizac¸ ˜
ao de
diferentes topologias, o que ´
e uma deficiˆ
encia no estado da
arte.
IV. CON CLU S ˜
OE S E TRA BALH OS FU TU ROS
Nesse trabalho, ´
e apresentada uma proposta para protec¸ ˜
ao
de redes SDN na qual os enderec¸os dos dispositivos ativos
s˜
ao randomizados em intervalos de tempo, com o objetivo de
confundir um poss´
ıvel atacante em ataques de fingerprinting.
Atrav´
es dos resultados, ´
e poss´
ıvel perceber que a ferramenta
cumpre o seu papel em dificultar a coleta de informac¸ ˜
oes
por parte do atacante, al´
em de n˜
ao demandar muito tempo
para realizar as operac¸ ˜
oes de gerar e mapear novos IPs aos
dispositivos. Entretanto, caso um atacante passe a monitorar
os enderec¸os MAC dos dispositivos, ´
e poss´
ıvel que ele consiga
realizar um ataque caso tenha um enderec¸o MAC espec´
ıfico
como alvo.
Em trabalhos futuros pretendemos formalizar uma m´
etrica
para a definic¸ ˜
ao do parˆ
amero de randomizac¸ ˜
ao da rede,
baseando-se em alguns parˆ
ametros como: tamanho da rede,
tipo de topologia, tipo de servic¸o e m´
etricas de Qualidade de
Servic¸o (QoS). Tamb´
em pretendemos considerar a efetividade
da ferramenta em cen´
arios com m´
ultiplos atacantes na rede.
Al´
em disso, pretendemos avaliar o funcionamento de outras
t´
ecnicas de MTD contra diferentes tipos de ataques em redes
SDN.
REF ER ˆ
ENCIAS
[1] D. Kreutz, F. M. V. Ramos, P. E. Ver´
ıssimo, C. E. Rothenberg, S. Azodol-
molky, and S. Uhlig, “Software-defined networking: A comprehensive
survey,” Proceedings of the IEEE, vol. 103, no. 1, pp. 14–76, Jan 2015.
[2] F. S. Dantas Silva, E. Silva, E. P. Neto, M. Lemos, A. J.
Venancio Neto, and F. Esposito, “A taxonomy of ddos attack
mitigation approaches featured by sdn technologies in iot scenarios,”
Sensors, vol. 20, no. 11, p. 3078, May 2020. [Online]. Available:
http://dx.doi.org/10.3390/s20113078
[3] S. Jajodia, A. K. Ghosh, V. Swarup, C. Wang, and X. S. Wang,
Moving target defense: creating asymmetric uncertainty for cyber threats.
Springer Science & Business Media, 2011, vol. 54.
[4] J. H. Jafarian, E. Al-Shaer, and Q. Duan, “Openflow random host
mutation: transparent moving target defense using software defined net-
working,” in Proceedings of the first workshop on Hot topics in software
defined networks, 2012, pp. 127–132.
[5] P. Kampanakis, H. Perros, and T. Beyene, “Sdn-based solutions for
moving target defense network protection,” in Proceeding of IEEE
International Symposium on a World of Wireless, Mobile and Multimedia
Networks 2014. IEEE, 2014, pp. 1–6.
[6] D. C. MacFarland and C. A. Shue, “The sdn shuffle: creating a moving-
target defense using host-based software-defined networking,” in Proceed-
ings of the Second ACM Workshop on Moving Target Defense, 2015, pp.
37–41.
