Validation of the Network-based Dictionary Attack Detection

VYKOPAL, Jan, Tomáš PLESNÍK a Pavel MINAŘÍK. Validation of the Network-based Dictionary Attack Detection. In Security and Protection of Information 2009, Proceeding of the Conference. Brno: University of Defence, 2009, s. 128-136, 190 s. ISBN 978-80-7231-641-0.

Základní údaje

• Originální název: Validation of the Network-based Dictionary Attack Detection
• Název česky: Validace síťové detekce slovníkových útoků
• Autoři: VYKOPAL, Jan (203 Česká republika, garant, domácí), Tomáš PLESNÍK (203 Česká republika, domácí) a Pavel MINAŘÍK (203 Česká republika, domácí).
• Vydání: Brno, Security and Protection of Information 2009, Proceeding of the Conference, od s. 128-136, 190 s. 2009.
• Nakladatel: University of Defence

Další údaje

• Originální jazyk: angličtina
• Typ výsledku: Stať ve sborníku
• Obor: 10201 Computer sciences, information science, bioinformatics
• Stát vydavatele: Česká republika
• Utajení: není předmětem státního či obchodního tajemství
• Kód RIV: RIV/00216224:14610/09:00040910
• Organizační jednotka: Ústav výpočetní techniky
• ISBN: 978-80-7231-641-0
• Klíčová slova anglicky: dictionary attack; SSH; NetFlow; attack pattern; validation; honeypot
• Štítky: attack pattern, dictionary attack, honeypot, netflow, rivok, SSH, validation
• Příznaky: Mezinárodní význam, Recenzováno

Anotace

This paper presents a study of successful dictionary attacks against a SSH server and their network-based detection. On the basis of experience in the protection of university network we developed a detection algorithm based on a generic SSH authentication pattern. Thanks to the network-based approach, the detection algorithm is host independent and highly scalable. We deployed a high-interaction honeypot based on VMware to validate the SSH dictionary attack pattern that is able to recognize a successful attack. The honeypot provides several user accounts secured by both weak and strong passwords. All the communication between the honeypot and other hosts was logged at the host and even network layer (the relevant NetFlow data were stored too). After successful or unsuccessful break-in attempt, we could reliably determine detection accuracy (the false positive and negative rate). The pattern was implemented using a dynamic decision tree technique, so we can propose some modifications of its parameters based on the results. In addition, we could validate the improved pattern because the detection relies only on the NetFlow data. This study also discusses the performance details of detection method and reveals methods and behaviour of present successful attackers. Next, these findings are compared to the conclusions of the previous study. In our future work, we will focus on an extension of the detection method to other network services and protocols than SSH. Further, the method should also provide some reasons for the decision that the attack occurred (e. g., distributed dictionary attack).

Anotace česky

Článek pojednává o studii úspěšných slovníkových útoků na SSH server a jejich detekci. Na základě zkušeností s ochranou univerzitní sítě jsme vyvinuli detekční algoritmus založený na obecném vzoru SSH autentizace. Díky síťovému pohledu je tento algoritmus nezávislý na koncových strojích a je škálovatelný. Abychom ověřili vzor útoku schopný rozeznat úspěšný útok, nasadili jsme high-interaction honeypot na platformě VMware a monitorovací sondu NetFlow. Po úspěšných i neúspěšných pokusech jsme tak byli schopni určit přesnost detekce. Detekční vzor byl implementován pomocí dynamického rozhodovacího stromu, jehož parametry lze modifikovat. Článek dále popisuje naměřený výkon vzoru a odhaluje metody dnešních skutečných útočníků (vč. srovnání se studiemi z předchozích let jiných autorů).

Návaznosti

• OVMASUN200801, projekt VaV: Název: CYBER ? Bezpečnost informačních a komunikačních systémů AČR - on line monitorování, vizualizace a filtrace paketů. Rozvoj schopností Computer Incident Response Capability v prostředí Cyber Defence. (Akronym: CYBER)

Investor: Ministerstvo obrany ČR, CYBER - Bezpečnost informačních a komunikačních systémů AČR - on line monitorování, vizualizace a filtrace paketů. Rozvoj schopností Computer Incident Response Capability v prostředí Cyber Defence