2009
Validation of the Network-based Dictionary Attack Detection
VYKOPAL, Jan, Tomáš PLESNÍK a Pavel MINAŘÍKZákladní údaje
Originální název
Validation of the Network-based Dictionary Attack Detection
Název česky
Validace síťové detekce slovníkových útoků
Autoři
VYKOPAL, Jan (203 Česká republika, garant, domácí), Tomáš PLESNÍK (203 Česká republika, domácí) a Pavel MINAŘÍK (203 Česká republika, domácí)
Vydání
Brno, Security and Protection of Information 2009, Proceeding of the Conference, od s. 128-136, 190 s. 2009
Nakladatel
University of Defence
Další údaje
Jazyk
angličtina
Typ výsledku
Stať ve sborníku
Obor
10201 Computer sciences, information science, bioinformatics
Stát vydavatele
Česká republika
Utajení
není předmětem státního či obchodního tajemství
Kód RIV
RIV/00216224:14610/09:00040910
Organizační jednotka
Ústav výpočetní techniky
ISBN
978-80-7231-641-0
Klíčová slova anglicky
dictionary attack; SSH; NetFlow; attack pattern; validation; honeypot
Štítky
Příznaky
Mezinárodní význam, Recenzováno
Změněno: 10. 3. 2011 10:53, doc. RNDr. Jan Vykopal, Ph.D.
V originále
This paper presents a study of successful dictionary attacks against a SSH server and their network-based detection. On the basis of experience in the protection of university network we developed a detection algorithm based on a generic SSH authentication pattern. Thanks to the network-based approach, the detection algorithm is host independent and highly scalable. We deployed a high-interaction honeypot based on VMware to validate the SSH dictionary attack pattern that is able to recognize a successful attack. The honeypot provides several user accounts secured by both weak and strong passwords. All the communication between the honeypot and other hosts was logged at the host and even network layer (the relevant NetFlow data were stored too). After successful or unsuccessful break-in attempt, we could reliably determine detection accuracy (the false positive and negative rate). The pattern was implemented using a dynamic decision tree technique, so we can propose some modifications of its parameters based on the results. In addition, we could validate the improved pattern because the detection relies only on the NetFlow data. This study also discusses the performance details of detection method and reveals methods and behaviour of present successful attackers. Next, these findings are compared to the conclusions of the previous study. In our future work, we will focus on an extension of the detection method to other network services and protocols than SSH. Further, the method should also provide some reasons for the decision that the attack occurred (e. g., distributed dictionary attack).
Česky
Článek pojednává o studii úspěšných slovníkových útoků na SSH server a jejich detekci. Na základě zkušeností s ochranou univerzitní sítě jsme vyvinuli detekční algoritmus založený na obecném vzoru SSH autentizace. Díky síťovému pohledu je tento algoritmus nezávislý na koncových strojích a je škálovatelný. Abychom ověřili vzor útoku schopný rozeznat úspěšný útok, nasadili jsme high-interaction honeypot na platformě VMware a monitorovací sondu NetFlow. Po úspěšných i neúspěšných pokusech jsme tak byli schopni určit přesnost detekce. Detekční vzor byl implementován pomocí dynamického rozhodovacího stromu, jehož parametry lze modifikovat. Článek dále popisuje naměřený výkon vzoru a odhaluje metody dnešních skutečných útočníků (vč. srovnání se studiemi z předchozích let jiných autorů).
Návaznosti
| OVMASUN200801, projekt VaV |
|