CZ2013663A3

CZ2013663A3 - Method of and device for detection of information and communication network attack

Info

Publication number: CZ2013663A3
Application number: CZ2013-663A
Authority: CZ
Inventors: Petr Chmelař; Michal Drozd; Maroš Barabas; Ivan Homoliak; Petr Hanáček; Miroslav Švéda; Hana Vystavělová; Karla Chromá
Original assignee: Aec, Spol. S R.O.; Chromá Klára; Vysoké Učení Technické V Brně; Petr Chmelař
Priority date: 2013-08-28
Filing date: 2013-08-28
Publication date: 2015-03-11

Abstract

Způsob detekce napadení informačních a komunikačních sítí pokročilými síťovými útoky a malware se provádí analýzou vzorků chování procházejícího toku dat. Z analýzy procházejícího toku dat síťového provozu se stanovují metriky chování představující chování síťového toku dat ze statického, dynamického, distribučního a behaviorálního chování, na základě čehož se rozlišují legitimní toky dat od nebezpečných datových toků. Zařízení k provádění způsobu v síťové infrastruktuře (20, 30) obsahuje alespoň jednu síťovou sondu (200) s připojeným generátorem behaviorálních signatur (300), klasifikátorem (400) a virtuálním počítačem.The method of detecting infiltration of information and communication networks by advanced network attacks and malware is performed by analyzing the patterns of data flow passing through. Analysis of the traffic flow of network traffic determines the behavior metrics that represent the behavior of network data flow from static, dynamic, distribution, and behavioral behaviors, which distinguishes legitimate data flows from malicious data flows. The method for performing the method in a network infrastructure (20, 30) includes at least one network probe (200) with a connected behavioral signature generator (300), a classifier (400), and a virtual machine.

Description

Způsob a zařízení k detekci napadení informačních a komunikačních sítíMethod and apparatus for detecting infections of information and communication networks

Oblast technikyTechnical field

Vynález se týká způsobu detekce napadení informačních a komunikačních sítí pokročilými síťovými útoky a malware a zařízení k jeho provádění.The invention relates to a method for detecting information network communications attacks by advanced network attacks and malware, and to devices for performing it.

Dosavadní stav technikyBACKGROUND OF THE INVENTION

V současné době je zaznamenán velký nárůst síťových infekcí prokazujících se vysokou schopností sebepřetváření pro znemožnění detekce současnými antimalware nástroji. Trendy vývoje malware směřují k nepredikovatelně morfujícímu software, schopným měnit způsoby a metody útoků.Currently, there is a large increase in network infections showing high self-resilience to prevent detection by current antimalware tools. Trends in malware development are moving towards unpredictable morphing software, capable of changing the methods and methods of attack.

Cílem většiny současného malware je vytváření živých či skrytých botnet sítí -napadených počítačů- schopných generovat vysoký ekonomickým potenciál - dle většiny analýz provedených v letech 2011 — 2013 je infikována asi třetina všech počítačů. Existence a šíření těchto malware tedy začíná představovat významné riziko nejen z pohledu ekonomického, ale i z pozice narušení bezpečnosti kritické infrastruktury.The goal of most current malware is to create live or hidden botnet networks — infected computers — capable of generating high economic potential - according to most analyzes conducted in 2011-2013, about a third of all computers are infected. Thus, the existence and distribution of these malware is starting to pose a significant risk not only from the economic point of view, but also from the position of breach of security of critical infrastructure.

Současné detekční metody NIDS -Network Intrusion Detection Systém-, včetně ADS -Amonaly Detection Systém- jsou založeny na mechanismu porovnání pouze na základě rovnosti (a nerovnosti) dat získaných ze síťové komunikace. V případě IDS/IPS se jedná o striktní porovnání binárních dat -paketu-. V případě ADS je detekce založena na překročení definovaných statistických hranic a odchylek, například nadlimitním využívání statisticky méně používaných služeb.Current detection methods of the NIDS -Network Intrusion Detection System, including the ADS -Amonaly Detection System, are based on a comparison mechanism based only on the equality (and inequality) of data obtained from network communication. In the case of IDS / IPS, this is a strict comparison of binary-packet data. In the case of ADS, detection is based on exceeding defined statistical boundaries and deviations, such as over-use of statistically less used services.

Sběr dat pro jejich analýzu prostřednictvím honeypotů a dalších aktivních prvků sítí je relativně běžnou praxí bezpečnostních odborníků a správců sítí. V případě páteřních sítí se silným provozem není možné ukládám provozu v podobě vhodné pro další detailní analýzu. Data je nutné redukovat takovým způsobem, aby se z nich neztratily informace důležité pro další bezpečnostní analýzu, což je v dostupné literatuře pokládáno za obtížný úkol.The collection of data for their analysis through honeypots and other active network elements is a relatively common practice for security professionals and network administrators. In the case of backbone networks with heavy traffic, it is not possible to store traffic in a form suitable for further detailed analysis. The data must be reduced in such a way that information important for further safety analysis is not lost from it, which is considered a difficult task in the available literature.

Současný stav v odborné literatuře může být prezentován články původců „Behavioral Signatuře Generation Using Shadow Honeypot“ z roku 2012 a „Automated Malware Detection Based on Novel Network Behavioral Signatures“ z roku 2013, které se zabývají možnostmi detekce buffer overflow útoků prostřednictvím interaktivních honeypotů a detekčních metrik založených na síťovém chování, které není z principu možné generovat v reálném čase. Toto se týká také ekvivalentních metrik (diskriminátorů) z práce A. Moora „Discriminators for Use in Flow-based Classification z roku 2005.Current state of the art literature can be presented by the articles of the authors of the Behavioral Signature Generation Using Shadow Honeypot 2012 and Automated Malware Detection Based on Novel Network Behavioral Signatures 2013, which deal with the possibilities of detection of buffer overflow attacks via interactive honeypots and detection network behavior metrics that cannot be generated in principle in real time. This also applies to the equivalent metrics (discriminators) of A. Moore's 2005 Discriminators for Use in Flow-based Classification.

V roce 2012 byl společnosti Microsoft udělen patent „Real-time network malware protection“ -US 8256003 B2-, popisující databázi stavu sítě -Network Statě Database-, která obsahuje informace o zařízeních zapojených v síti, které je možné využít pro řízení síťových rizik v případě šíření malware po této síti (jeho blokování).In 2012, Microsoft was granted the "Real-time network malware protection" patent -US 8256003 B2-, describing the Network Status Database, which contains information about networked devices that can be used to manage network risks in in case of malware spreading over this network (blocking).

V případě ochrany jednotlivého počítače na základě chování malware byl v roce 2009 společností Symantec udělen patent „Using machine infection characteristics for behavior-based detection of malware“, -US 8266698 B1-. V případě ochrany mobilních sítí a zařízení bez klasických operačních a antivirových systémů byl v roce 2011 společnosti Openet udělen patent „Methods, Systems and Devices for the Detection and Prevention of malware Within a Network“ -US 20120233656 Al- nebo „Detection and filtering of malware based on traffic observations made in a distributed mobile traffic management systém“ (US 20120278886 Al) v roce 2012.To protect an individual computer from malware behavior, in 2009 Symantec granted the patent "Using Machine Infection Characteristics for Behavior-Based Detection of Malware", -US 8266698 B1-. In the case of protection of mobile networks and devices without classical operating and antivirus systems, Openet was granted in 2011 patent "Methods, Systems and Devices for Detection and Prevention of Malware Within a Network" -US 20120233656 Al- or "Detection and filtering of malware" based on traffic observations made in a distributed mobile traffic management system ”(US 20120278886 Al) in 2012.

Evropský patent (EP 2326057 Al) „Detecting malicious behaviour on a network“ udělený v roce 2011 se zabývá detekcí malware (Intrusion Detection Systém, IDS) na Proxy serveru. Několik evropských patentů se dále zabývá analýzou obsahu paketů (IDS), například další patent British Telecomunications z roku 2010 „Detecting malicious behaviour on acomputer network (EP 2222048 Al).The European patent (EP 2326057 A1) "Detecting malicious behavior on a network" granted in 2011 deals with the detection of malware (Intrusion Detection System, IDS) on a Proxy server. Several European patents further deal with packet content analysis (IDS), such as another British Telecomunications patent of 2010 "Detecting malicious behavior on acomputer network" (EP 2222048 A1).

Podstata vynálezuSUMMARY OF THE INVENTION

Úkolem vynálezu je nalézt způsob identifikující nežádoucí chování toku dat a malware v síti, bez nutnosti analyzovat obsah komunikace, nebo tato zjištění automatizovaně ověřovat, a kteiý by umožňoval se na jejich základě učit a rozpoznávat nové varianty známých i dosud neznámých útoků. Úkolem vynálezu je rovněž vytvořit zařízení k provádění tohoto způsobu.SUMMARY OF THE INVENTION It is an object of the present invention to provide a method for identifying unwanted behavior of data flow and malware in a network without analyzing communication content or automatically verifying these findings to enable them to learn and recognize new variants of known and previously unknown attacks. It is also an object of the invention to provide an apparatus for carrying out this method.

• · • · • ·• • •

Toho se značnou měrou dosáhne způsobem detekce napadení informačních a komunikačních sítí pokročilými síťovými útoky a malware, podle vynálezu, jehož podstata spočívá v tom, že se provádí analýza vzorků chování procházejícího toku dat a z analýzy procházejícího toku dat síťového provozu se stanovují metriky chování představující chování síťového toku dat ze statického, dynamického, distribučního a behaviorálního chování, na základě čehož se rozdělují legitimní toky dat od nebezpečných datových toků.This is largely achieved by the method of detecting information and communication network attacks by advanced network attacks and malware, according to the invention, which consists in analyzing the behavior of the passing data flow and analyzing the passing traffic flow of network traffic to determine behavior metrics representing data flow from static, dynamic, distribution and behavioral behavior, which separates legitimate data streams from dangerous data streams.

S ohledem na zlepšení detekce je výhodné, když se zhodnotí škodlivost toku dat, vytvoří se jeho signatury na základě obsahu a chování, načež se jimi aktualizuje detekční modul.With a view to improving detection, it is advantageous to evaluate the harmfulness of the data stream, to create its signature on the basis of content and behavior, and then to update the detection module.

Zařízení k provádění způsobu výhodné pro vysokou propustnost, jednoduchou paralizovatelnost, vhodné pro velké síťové uspořádaní spočívá zejména v tom, že obsahuje router, na nějž je napojena paralelně k síťové infrastruktuře alespoň jedna síťová sonda s připojeným generátorem behaviorálních signatur.An apparatus for carrying out a method advantageous for high throughput, simple paralizability suitable for large network configurations is in particular comprising a router to which at least one network probe with a behavioral signature generator is connected in parallel to the network infrastructure.

S ohledem na možnosti propojení, je výhodné když je sonda s připojeným generátorem behaviorálních signatur propojena přímo s routerem a je propojena s klasifikátorem a vitrualizovaným počítačem a řídícím a učícím modulem uspořádanými v síťové infrastruktuře.With respect to the connectivity, it is preferred that the probe with the connected behavioral signature generator be connected directly to the router and is connected to the classifier and the vitrualized computer and the control and learning module arranged in the network infrastructure.

S ohledem na možnosti blokování toku dat je výhodné, když obsahuje sondu sériově zapojenou k síťové infrastruktuře, k níž je přes systémové rozhraní připojen blok obsahující generátor behaviorálních signatur, klasifikátoru a dočasnou paměť, přičemž přes síťové rozhraní je připojen virtualizovaný počítač virtualizované sítě.With respect to data flow blocking capabilities, it is advantageous to include a probe serially connected to a network infrastructure to which a block containing a behavioral signature generator, a classifier and temporary memory is connected via a system interface, and a virtualized virtualized network computer is connected through the network interface.

Jeví se výhodné, když v bloku 345 je uspořádána dočasná paměť.It appears advantageous if temporary memory is arranged in block 345.

Ob jasnění výkresůOb clarification of drawings

Vynález bude blíže objasněn s použitím výkresu na němž je v blokovém uspořádání znázorněno na obr. 1 statické schéma zařízení se sondou v paralelním zapojení, na obr. 2 statické schéma zařízení se sondou v sériovém zapojení, na obr. 3 dynamické schéma zařízení se sondou v aktivním zapojení, na obr. 4 principiální schéma zařízení se sondou v aktivním zapojení, na obr. 5 schéma sondy a na obr. 6 schéma vysoce monitorovaného virtualizovaného počítače 600.BRIEF DESCRIPTION OF THE DRAWINGS FIG. 1 is a schematic diagram of a device with a probe in parallel connection, FIG. 2 is a schematic diagram of a device with a probe in series connection, and FIG. Figure 4 is a schematic diagram of the active probe device, Figure 5 is a probe diagram, and Figure 6 is a highly monitored virtualized computer 600.

Příkladfv) uskutečnění vynálezuEXAMPLE IV Embodiments of the invention

Vynález bude popsán na příkladu dvou různých zapojení dle výkresu 1 a 2, které mohou být použity volitelně, pokud je to dále uvedeno. V základním provedení dle obr. 1 je paralelně zpracováván přesměrovaný síťový provoz 10 (v promiskuitním režimu) z routeru 40 pomocí na něj propojené paralelní síťové sondy 200 v pasivním režimu, který se vyznačuje tím, že přes něj není směrován síťový provoz 10 a tudíž je neblokující. Umístění routeru 40 v síťové infrastruktuře 20, 30 může být libovolné, stejně tak část síťového provozu klonovaná na další síťovou sondu 200. Pro úsporu je možné použít i síťový rozbočovač - Hub odpovídající rychlosti. Data předzpracovaná síťovou sondou 200, případně paralelními sondami 200, jsou dále zpracována pomocí generátoru behaviorálních signatur 300 v reálném čase, připojeného na síťovou sondu 200.The invention will be described by way of example of two different connections according to Figures 1 and 2, which can be used optionally, as indicated below. In the basic embodiment of FIG. 1, the redirected network traffic 10 (in promiscuous mode) is processed in parallel from the router 40 by the parallel network probe 200 in passive mode interconnected therewith, characterized in that the network traffic 10 is not routed over it. non-blocking. The location of the router 40 in the network infrastructure 20, 30 may be arbitrary, as well as a portion of the network traffic cloned onto another network probe 200. A network hub hub of appropriate speed may also be used for saving. The data preprocessed by the network probe 200, or the parallel probes 200, is further processed using a real-time behavioral signature generator 300 coupled to the network probe 200.

Vzhledem k neblokující povaze zapojení není nutné, aby byly behaviorální signatury dále zpracovány v reálném čase s routerem 40, propojeným klasifikátorem 400. Umístnění klasifikátoru 400 v demilitarizované zóně síťové infrastruktury 20. 30 je libovolné, v závislosti na dalších požadavcích, obdobně jako vysoce monitorované virtualizované počítače 600, propojené s routerem 40 stejně jako řídící a učící modul 700. Řídící a učící modul 700 může být volitelně umístěn centrálně (v cloudu).Due to the non-blocking nature of the engagement, it is not necessary for the behavioral signatures to be further processed in real time with the router 40 connected by the classifier 400. The positioning of the classifier 400 in the demilitarized zone of the network infrastructure 20 is as desired. computers 600 connected to the router 40 as well as the control and learning module 700. The control and learning module 700 may optionally be located centrally (in the cloud).

Výhodou zařízení dle schématu 1 je jeho vysoká propustnost, v současnosti desítky Gb/s, a jednoduchá paralelizovatelnost, proto je vhodný pro velmi velké síťové infrastruktury 20, 30 a poskytuje informace například o napadených počítačích 70 v prostředí, jako jsou poskytovatelé internetu a podobně prostřednictvím uživatelského rozhraní řídícího a učícího modulu 700. Aktivní ochrana proti hrozbám je záležitostí obsluhy, případně je možné zasílat informace z klasifikátoru 400 blokovacímu zařízení, kterým je síťový router 40 nebo firewall 50, který zabrání dalšímu pokračování útoku.Advantage of the device according to Scheme 1 is its high throughput, currently tens of Gbps, and simple parallelization, therefore it is suitable for very large network infrastructures 20, 30 and provides information about infected computers 70 in environments such as Internet providers and the like Active threat protection is a matter of service, or it is possible to send information from the classifier 400 to a blocking device that is a network router 40 or firewall 50 to prevent the attack from continuing.

Zařízení dle schématu 2 má sériově se síťovou infrastrukturou 20, 30 připojenou sondu 200, k níž je přes systémové rozhraní 190 připojen blok 345, obsahující generátor behaviorálních signatur 300, klasifikátor 400, dočasnou paměť 500, případně učící modul 700. Oproti předchozímu provedení má toto provedení výhodu v sériovém zapojení sondy 200 a běhu klasifikátoru 400 v reálném čase, umožňující blokování komunikace, tedy zamezení probíhajícímu útoku 911, což je znázorněno na schématu 3 a 4. V případě podezření na • · · « · · · • · · · · · ···· • · · · · · probíhající útok 941 je přesměrována probíhající komunikace na vysoce monitorovaný virtualizovaný počítač 600 shadow honeypot, který má zdánlivě stejné softwarové vybavení, jako v síťovém zařízení 70, např. PC, server apod., na který je, či byl, s jistou mírou pravděpodobnosti prováděn útok. Tento virtualizovaný počítač 600 má zdánlivě stejné i další síťové identifikační údaje, například IP nebo MAC adresy, což je umožněno způsobem, kterým je vytvořena virtuální síť 60, jak je patrné ze schématu 2. K virtuální síti 60 je možné přistupovat přes síťové rozhraní 100 pouze prostřednictvím síťové sondy 200, která disponuje funkcí zrcadlení (mirroring) provozu.The device according to Scheme 2 has a probe 200 connected in series with the network infrastructure 20, 30, to which a block 345 containing a behavioral signature generator 300, a classifier 400, a temporary memory 500, or a learning module 700 is connected via a system interface 190. Performing the advantage in series connection of the probe 200 and the real-time run of the classifier 400, allowing blocking of communication, thus preventing the ongoing 911 attack, as shown in Schemes 3 and 4. In case of suspicion Ongoing attack 941 redirects ongoing communications to a highly monitored virtualized computer 600 shadow honeypot, which has seemingly the same software as a network device 70, such as a PC, server, etc., to which is or has been, with some degree of probability, an attack. This virtualized computer 600 has apparently the same and other network identification data, such as IP or MAC addresses, which is made possible by the way in which virtual network 60 is created, as shown in Figure 2. Virtual network 60 can only be accessed via network interface 100 via a network probe 200 having a mirroring function.

Data síťového provozu 910 jsou dle schématu 3 a 4 zaznamenávána prostřednictvím sondy 200 v dočasné paměti 500 pro případ, že by se v jeho průběhu objevily indicie naznačující jeho škodlivost. V této dočasné paměti 500 jsou uchována data síťového provozu 910 po určitou dobu, dokud není z mezivýsledku třídy klasifikace 940 v klasifikátoru 400 patrné, že se buďto jedná o legitimní komunikaci 942, nebo pokud má nízkou pravděpodobnost škodlivosti a došlo by k zaplnění paměti 500. Dále naopak, pokud se pravděpodobně jedná o škodlivou komunikaci 941, kdy je tok zpracován pomocí virtualizované počítače 600, jak ie popsáno výše, kde dojde ke konečnému rozhodnutí o škodlivosti toku dat a kde se vytvoří jeho signatury na základě obsahu komunikace i chování (pomocí metrik ASNM). Tyto jsou dále odeslány do řídícího a učícího modulu 700 pro následnou aktualizaci detekčního modelu 970.Network traffic data 910 is, according to Schemes 3 and 4, recorded by a probe 200 in the temporary memory 500 in the event that there are indications indicating its harmfulness during it. In this temporary memory 500, network traffic data 910 is retained for a period of time until it is apparent from the intermediate result of class 940 in classifier 400 that it is either a legitimate 942 communication or low probability and the memory 500 becomes full. Conversely, if it is likely to be malicious traffic 941, where the flow is processed using virtualized computer 600, as described above, where the final decision is made about the harmfulness of the data flow and where its signature is created based on the content of the communication and behavior (using metrics ASNM). These are further sent to the control and learning module 700 for subsequent update of the detection model 970.

Společně s ukládáním dat síťového provozu 910 v dočasné paměti 500 jsou data síťového provozu 910 zpracovávána pomocí generátoru behaviorálních signatur 300 v reálném čase stejným způsobem jako v pasivním režimu. V aktivním režimu navíc probíhá klasifikace v jednotce 400 v reálném čase, čehož je dosaženo prostřednicím klasifikace výpočtů a především aktuálních mezivýpočtů signatur ASNM, které s jistou mírou pravděpodobnosti dokáží určit míru škodlivosti datového toku průběžně. Aktivní ochrana proti hrozbám je prováděna pomocí blokování další škodlivé komunikace 941 v sériově zapojené sondě 200, případně je možné zasílat informace z klasifikátoru 400 blokovacímu zařízení síťovému routeru 40 nebo firewall 50, obdobně jako v případě pasivního zapojení.Together with storing the network traffic data 910 in the temporary memory 500, the network traffic data 910 is processed by the behavioral signature generator 300 in real time in the same way as in passive mode. Moreover, in the active mode, the classification in the unit 400 is carried out in real time, which is achieved through the classification of calculations and, in particular, the current ASNM signature intermediate calculations, which are able to determine the degree of harmfulness of the data stream on an ongoing basis. Active threat protection is performed by blocking other malicious communication 941 in the serial connected probe 200, or it is possible to send classifier information 400 to the blocking device network router 40 or firewall 50, as in the case of passive connection.

Síťová sonda 200 je (hardwarová) komponenta typicky založená na technologii FPGA obvodu, obsahující několik síťových rozhraní 100 (typicky jedno až čtyři), která je schopná zpracovávat, filtrovat, blokovat, směrovat a dočasně ukládat provoz v reálném čase v rámci jednoho síťového rozhraní 100. Schéma síťové 200 sondy je uvedeno na schématu 5. Síťová sonda 200 je v podstatě síťová karta modifikovaná tak, aby měla vysoký výpočetní výkon. Obsahuje procesor typu FPGA 120 a řádově větší a rychlejší paměť 140, než je obvyklé na trhu. Tato síťová karta je programovatelná a síťová data zasílá přímo přes síťové rozhraní 100 po sběrnici 190, tedy bez nutnosti předchozího zpracování procesorem CPU 110 a hlavní pamětí 150 vysoce monitorovaného virtualizovaného počítače 600.Network Probe 200 is a (hardware) component typically based on FPGA circuitry technology, including several network interfaces 100 (typically one to four), capable of processing, filtering, blocking, routing and temporarily storing real-time traffic within one network interface 100 A diagram of the network probe 200 is shown in Scheme 5. The network probe 200 is essentially a network card modified to have high processing power. It includes an FPGA 120 processor and a memory of a much larger and faster memory 140 than conventional. This network card is programmable and sends network data directly via network interface 100 via bus 190, without the need for prior processing by the CPU 110 and main memory 150 of the highly monitored virtualized computer 600.

V rámci síťové sondy 200 může být implementována část generátoru signatur a to především předzpracování dat a vytváření statistik. Data vybraného síťového provozu mohou být odesílána do dočasné paměti 500. Tyto informace jsou dopravovány typicky po systémové sběrnici 190.Within the network probe 200, a portion of the signature generator may be implemented, in particular data preprocessing and statistics. The data of the selected network traffic may be sent to the temporary memory 500. This information is typically conveyed over the system bus 190.

Síťová data poskytovaná síťovou sondou 200 jsou po systémové sběrnici 190 ukládána v dočasné paměti 500 typicky typu RAM z důvodu jejich možné pozdější analýzy pomocí vysoce monitorovaného virtualizovaného počítače 600. Pokud se prokáže, že data nepředstavují bezpečnostní riziko, jsou smazána, obdobně jako v případě limitovaných hardwarových prostředků - předpokládáme trvání útoku pouze v jednotkách minut. Dočasná paměť 500 je volitelnou součástí systému.Network data provided by network probe 200 is typically stored in temporary memory 500 over system bus 190 typically due to possible later analysis by a highly monitored virtualized computer 600. If it is shown that the data does not pose a security risk, it is deleted as in the case of limited hardware resources - we assume the duration of the attack is only in minutes. Temporary memory 500 is an optional part of the system.

Vytvářené signatury (generátorem behaviorálních signatur 300) jsou vektory čísel, z nichž každé odpovídá hodnotě specifické metriky. Každá metrika je charakterizací chování síťového toku a může se vymezit jako rozšíření protokolu NetFlow popisující nejen statistické vlastnosti síťového toku, ale zahrnuje rovněž specifika dynamická, lokalizační a specifika chování.Signatures to be created (Behavior Signature Generator 300) are number vectors, each corresponding to a specific metric value. Each metric is a characterization of the network flow behavior and can be defined as an extension to the NetFlow protocol describing not only the statistical properties of the network flow, but also includes dynamic, localization, and behavioral specifics.

Signatury jsou definovány souborem metrik ASNM (Advanced Security Network Metrics). Tento soubor zahrnuje až 300 metrik pro každý datový tok, které jsou generovány ze zdrojových dat, jež jsou extrahovány ze síťového provozu. Tyto metriky nevyužívají obsah paketů, který může být ve většině případů šifrován. Metriky jsou rozděleny do 5 logických skupin dle jejich určení - statistické, dynamické, lokalizační, distribuční a behaviorální.Signatures are defined by the Advanced Security Network Metrics (ASNM) metric file. This file includes up to 300 metrics for each bitrate that is generated from source data that is extracted from network traffic. These metrics do not use packet content, which in most cases can be encrypted. Metrics are divided into 5 logical groups according to their purpose - statistical, dynamic, localization, distribution and behavioral.

Statistické metriky definují charakteristiky toku z hlediska vlastností, jako je jejich množství, počet paketů, jejich velikosti a trvání, příslušných služeb v daném toku a tak podobně, jejich mezní hodnoty, medián, průměr, směrodatnou odchylku a entropii a další statistické veličiny.Statistical metrics define flow characteristics in terms of properties such as their quantity, number of packets, their size and duration, relevant services in a given flow, and so on, their limit values, median, mean, standard deviation and entropy, and other statistical variables.

Dynamické metriky reprezentují dynamické vlastnosti toků, jako je rychlost - počet bytů/paketů datového spojení a toku (množství odchozích a příchozích dat) za jednotku času, jeho chybovost a podobně, které se v časovém průběhu mění.Dynamic metrics represent dynamic flow characteristics, such as speed - the number of bytes / packets of the data link and flow (the amount of outgoing and incoming data) per unit of time, its error rate, and the like that change over time.

• · · · · · · • · · · · · · · · · • · · · · ·• · · · · · · · · · · · · · · · · · · · · ·

Lokalizační metriky využívají statické vlastnosti toků k upřesnění pozice zdrojů a trasování útoku a jejich geolokace. Jejich cílem je poskytnutí argumentů v rozhodovacím procesu umělé inteligence.Localization metrics use static flow characteristics to refine the location of resources, and to trace and geolocate the attack. Their aim is to provide arguments in the decision-making process of artificial intelligence.

Distribuční metriky rozdělují pakety toků a případně jejich kontext do stanovených ekvidistantních skupin (obdoba histogramu) dle času doručení, akumulované velikosti přijatých nebo odeslaných dat nebo jejich dalších vlastností.Distribution metrics divide stream packets and their context, if any, into specified equidistant groups (similar to histograms) by delivery time, accumulated size of received or sent data, or other properties.

Behaviorální metriky jsou tvořeny na základě analýzy vlastností přímo asociovaných s chováním útoku. Příklady zahrnují legitimní či nelegitimní uzavření spojení, počet toků v určeném čase, jejich intervaly, frekvenční vlastnosti a polynomiální aproximace velikosti paketů, jejich součtu a podobné informace vztahující se přímo k exploitaci zranitelné služby.Behavioral metrics are created based on an analysis of properties directly associated with attack behavior. Examples include legitimate or illegitimate connection closure, number of flows at a specified time, their intervals, frequency properties and polynomial approximations of packet size, their sum and similar information directly related to exploitation of a vulnerable service.

Vstupem klasifikátoru 400 behaviorálních signatur jsou síťová data v podobě dříve definovaných signatur (metrik ASNM). Data jsou doplněna o data ze znalostní báze, obsahující například informace DNS, Whois, zda se jedná o známou adresu botnetu (blacklisting) a podobně. Dále jsou vytvářeny statistiky - např. počtu a trvání spojení, množství paketů, jejich velikost a entropie (historická statistická data) odlišná pro každý monitorovaný uzel sítě (podsíť, počítač, mobilní zařízení) a každou poskytovanou službu. Integrované množiny dat vstupují do klasifikačního procesu, kde jsou uplatněny statistické modely a detekční algoritmy umělé inteligence (klasifikace, shlukování a analýza odlehlých hodnot). Výsledky dílčích metod jsou vstupem souhrnného klasifikátoru, který určí míru škodlivosti klasifikovaného toku a vytvoří popis incidentu 940.The input of the behavioral signature classifier 400 is network data in the form of previously defined signatures (ASNM metrics). The data is supplemented with data from the knowledge base, including for example DNS information, Whois, whether it is a known botnet address (blacklisting) and so on. In addition, statistics - such as the number and duration of connections, the number of packets, their size and entropy (historical statistical data) are different for each monitored network node (subnet, computer, mobile device) and each service provided. Integrated data sets enter the classification process where statistical models and artificial intelligence detection algorithms (classification, clustering and outliers analysis) are applied. The results of the sub-methods are input to the summary classifier, which determines the degree of harmfulness of the classified flow and creates a description of incident 940.

Výstupem procesu dále je sada reportů 980, GUI, Syslog, SIEM, a rozhodnutí, zda se má dále probíhající síťová komunikace blokovat v případě sondy v aktivním režimu nebo přítomnosti obdobného zařízení se schopností blokovat zvolený provoz.The output of the process is furthermore a set of reports 980, GUI, Syslog, SIEM, and a decision whether to block the ongoing network communication in case of a probe in active mode or the presence of a similar device with the ability to block selected traffic.

Řídící a učící modul 700 vytváří detekční model pro klasifikátor 400 a zodpovídá za učení se novým signaturám odhalených útoků. V případně jeho nepřítomnosti v dané síti je možné využit centrální modul (umístěný v cloudu), který centralizuje a distribuuje modely odhalených útoků.The control and learning module 700 creates a detection model for the classifier 400 and is responsible for learning new signatures of detected attacks. In case of its absence in the network, it is possible to use a central module (located in the cloud), which centralizes and distributes models of detected attacks.

Vstupem procesoru útoků jsou data ze systémů virtualizováného počítače 600 v případě, že je detekován nový útok. Data z virtualizovaného počítače 600 (balíčky exploitů, data o provozu, čas útoku atd.) jsou užity k extrakci hodnot definovaných metrikami chování pro vytvoření jejich signatury.The attack processor input is data from the virtualized computer 600's systems when a new attack is detected. Data from the virtualized computer 600 (exploit packages, traffic data, attack time, etc.) is used to extract the values defined by the behavior metrics to create their signature.

• · · · · · · ·· · · · ····· • · · · · • · · 9 · · · ··· 9• 9 · 9 · 9 · 9 · 9

Proces učení využívá datovou sadu integrovanou z historických dat obsahující nahodilý legitimní provoz, který je označen jako platný, a škodlivý provoz, který je zachycen a extrahován ze systémů honeypot po proběhnuvším útoku. Data trénovací sady v podobě metrik ASNM jsou doplněna o data ze znalostní báze obdobně jako v případě klasifikátoru a dále o informace typické pro jednotlivé uzly a služby sítě (statistiky).The learning process uses a dataset integrated from historical data containing random legitimate traffic, which is marked as valid, and malicious traffic that is captured and extracted from honeypot systems after the attack. The training set data in the form of ASNM metrics is supplemented with data from the knowledge base similar to the classifier, as well as information typical for individual nodes and network services (statistics).

Řídící a učící modul 700 se trénuje na jisté datové sadě a detekční model 970, výstup učení, se odešle do klasifikátoru 400. Trénování lze provádět různými metodami - Bayesovská klasifikace, GMM/EMM Gaussian Mixture Model / Expectation Maximization, SVM (Support Vector Machines) a jejich (pravděpodobnostní) kombinaci v různých konfiguracích as různými metrikami.The control and learning module 700 is trained on a certain data set, and the detection model 970, the learning output, is sent to the classifier 400. Training can be performed by various methods - Bayesian classification, GMM / EMM Gaussian Mixture Model / Expectation Maximization, SVM (Support Vector Machines) and their (probabilistic) combination in different configurations and with different metrics.

Všechny modely naučených dat a statistiky jsou uloženy v databázi, která je součástí modulu 700. Učení se provádí s každým novým útokem, který je na virtualizováném počítači 600 detekován, nebo s odhaleným útokem, jenž byl falešně pozitivní, jak je znázorněno na schématuAll learned data models and statistics are stored in a database that is part of module 700. Learning is performed with every new attack detected on the virtualized computer 600 or with an exposed attack that was false positive as shown in the diagram

4.4.

Dříve popsané moduly systému předem zpracovávají známé útoky analýzou provozu. Analýza je prováděna buď porovnáváním parametrů provozu se signaturami chování s expertní databází identifikovaných malware s rozumnou mírou jistoty (např. přesah prahu rozhodnutí o škodlivosti) nebo znalostí poskytnutou vysoce monitorovaným virtualizovaným počítačem 600 - honeypotem, česky „návnada“ a někdy též sandbox.The previously described system modules pre-process known attacks by analyzing traffic. The analysis is carried out either by comparing the operation parameters with behavioral signatures with an expert database of identified malware with a reasonable degree of certainty (eg exceeding the threshold of malicious decision) or knowledge provided by a highly monitored virtualized computer 600 - honeypot.

Virtualizovaný počítač 600 dokáže rozhodnut o škodlivosti například útoků, které zneužívají zranitelnosti typu buffer overflow (přetečení zásobníku) na základě techniky tzv. taint analýzy jakmile proces vykoná instrukce z paměti, která by běžně neměla být spouštěna. Především se jedná o data pocházející síťové komunikace. Virtualizovaný počítač 600 označí proces za škodlivý a jeho vykonávání zastaví. Poté co je nahlášen útok, veškerý provoz ze síťového rozhraní 100 virtualizovaného počítače 600, procesy operačního systému i stav paměti, registrů, včetně škodlivého toku dat, jsou zaznamenány, odeslány do řídícího a učícího modulu 700 pro • ·Virtualized computer 600 is able to determine the harmfulness of, for example, attacks that exploit buffer overflow vulnerabilities based on a taint analysis technique once a process executes instructions from memory that should not normally be executed. Above all it concerns data coming from network communication. Virtualized computer 600 marks the process as malicious and stops execution. After the attack is reported, all traffic from the network interface 100 of the virtualized computer 600, operating system processes, and memory status, registers, including malicious data flow, are recorded, sent to the control and learning module 700 for

další analýzu a proces učení a dále následnou aktualizaci detekčního modelu, jak je znázorněno na principiálním schématu vynálezu č. 4.further analyzing and learning the process and subsequently updating the detection model as illustrated in the schematic diagram of the invention No. 4.

Vysoce monitorovaný virtualizovaný počítač 600 je schopen softwarové emulace operačních systémů 610 Windows, Linux a operační systémy na bázi POSIX na architekturách x86 a x86_64, PowerPC a ARM. Schéma virtualizovaného počítače 600 je zobrazeno na obr. 6, obsahujícím vstupy a výstupy emulátoru a schéma interních komponent včetně toku informace o původu vykonávaných dat a jejich zaznamenání. Pro jednoduchost zde není zobrazena fáze vlastního odeslání k další analýze učícímu a řídícímu modulu 700. Vysoce monitorovaný virtualizovaný počítač 600 je běžný počítač, uvnitř kterého je softwarově upraven alespoň jeden další virtuální počítač 610, přičemž jeho hardwarové zdroje síťového rozhraní 100, procesoru 110, paměti 150 a 160 - disku jsou virtualizovány a simulovány pomocí software tak, že je možné všechna data a prováděné operace monitorovat a zjistit tak běžně nezjistitelné instrukce a jejich parametry.The highly monitored virtualized computer 600 is capable of software emulation of 610 Windows, Linux, and POSIX-based operating systems on x86 and x86_64 architectures, PowerPC and ARM. A schematic of the virtualized computer 600 is shown in FIG. 6, including the emulator inputs and outputs, and a schematic of internal components including a flow of information about the origin of the data being executed and recording. For simplicity, the upload phase for further analysis to the learning and control module 700 is not shown here. A highly monitored virtualized computer 600 is a conventional computer within which at least one other virtual computer 610 is software-modified, with its network interface hardware resources 100, processor 110, memory. 150 and 160 - the disk is virtualized and simulated by software so that all data and operations performed can be monitored to identify commonly unrecognizable instructions and their parameters.

Internet ilitarizovaná zóna sítě DMZ uLAN vztahových značekInternet ilitarized zone of DMZ uLAN reference numbers

100100 ALIGN!

110110

120120

140140

SíťovýReticular

Virtuální síťVirtual network

Síťové zařízení (Network device (

Síťové rozhraní (aNetwork Interface (a

Procesor (standardní) er, libovolné jiné zařízení či podsíť) ér)Processor (standard), any other device or subnet)

Procesor FPGA (prog ovatelný hardware)FPGA (programmable hardware)

Paměť u RAM vysokorychlostní (například i cache)High-speed RAM (eg cache)

Parně/ typu RAM (standardní) ěť typu HDD (magnetická nebo\lektronická) ystémové rozhraní (sběrnice)Steam / RAM type (standard) HDD type (magnetic or electronic) ystem interface (bus)

Síťová sonda (aktivní režim, blokující, pří^dně směrující)Network probe (active mode, blocking, forward direction)

Síťová sonda (pasivní režim, neblokující)Mains probe (passive mode, non-blocking)

150150

160160

190190

Generátor behaviorálních signaturGenerator of behavioral signatures

Zařízení (počítač) zahrnující moduly 300,400, 500 a volitejůě 700.Device (computer) including modules 300,400, 500 and volley 700.

Klasifikátor • · · · • · · · · • · · · • · · · · • · · · ··· ·· ···· očasná paměťClassifier • Temporary memory

500500

600600

610610

690690

700700

900900

Virtuájizovaný operační systém (OS, případpě Firmware) vaně rozhraní počítače (sběmipé atp.)Virtualized operating system (OS, possibly Firmware) in the computer interface (collector etc.)

Vysoce monitorovaný virtualizovaný počítač (hpneypot)Highly monitored virtualized computer (hpneypot)

VirtualiVirtuali

Řídící a učlkí modulControl and training module

Obecný signál\pa schématu obvyjrie neznačené šipky, dle kontextu) Běžný TCP/IP prěyoz (na sché/hatu obvykle neznačené čáry) Blokovaný provoz (ň^žádopéí komunikace) Legitimní provozThe general signal \ pa of the diagram will show unlabeled arrows, depending on the context) Normal TCP / IP traffic (usually unmarked lines in schema / hata)

Statistiky, předzpracpÁaný^provoz (z 200)Statistics, preprocessed ^ traffic (of 200)

ASNM signatury (ž 300)ASNM signatures (ž 300)

Třídy klasifika/e (všechny třídy zNOQ) PozitivníClass / e classes (all zNOQ classes) Positive

910910

911911

912912

920920

930930

940940

941 komunikace941 communication

942942

960960

961961

962962

Sada reportů (GUI, Syslog, SIEM) asifikace (pravděpodobně nežádoucí nebo škodlivý provoz), škodliváReport set (GUI, Syslog, SIEM) assignment (probably unwanted or malicious traffic), malicious

Negativní klasifikace (pravděpodobně legiti í provoz), legitimní komunikace ace o napadení (pozitivní i negativní, z 600 Informace, napadení bylo prokázáno Informace, napadení nebylo prokázáno Detekční modelNegative classification (probably legitimate traffic), legitimate communication and attack (positive and negative, out of 600 Information, attack proved Information, attack not proved Detection model

Průmyslová využitelnostIndustrial applicability

Tento vynález jev podstatě možné použít v libovolné síťové infrastruktuře, nicméně je cílen na střední až velké podnikové sítě, telekomunikační operátory a kritickou infrastrukturu, vzhledem k jeho schopnosti chránit velké množství zařízení před různými cílenými útoky a malwarem 30 využívajícím neznámé zranitelnosti nebo odolným proti signaturám.The present invention is essentially applicable to any network infrastructure, but is targeted to medium to large enterprise networks, telecommunications operators and critical infrastructure, due to its ability to protect a large number of devices from various targeted attacks and unknown vulnerability or signature-resistant malware 30.

Seznam vztahových značekList of reference marks

InternetInternet

Demilitarizovaná zóna sítě DMZDemilitarized zone of the DMZ network

Síť typu LANLAN

Síťový routerNetwork router

Síťový fírewallNetwork fírewall

Virtuální síť (LAN či DMZ)Virtual network (LAN or DMZ)

Síťové zařízení (PC, server, libovolné jiné zařízení či podsíť)Network device (PC, server, any other device or subnet)

100 Síťové rozhraní (adaptér)100 Network interface (adapter)

110 Procesor (standardní)110 Processor (Standard)

120 Procesor typu FPGA (programovatelný hardware)120 FPGA (Programmable Hardware) Processor

140 Paměť typu RAM vysokorychlostní (například i cache)140 RAM (for example, cache)

150 Paměť typu RAM (standardní)150 RAM (standard)

160 ' Paměť typu HDD (magnetická nebo elektronická)160 'HDD (magnetic or electronic)

190 Systémové rozhraní (sběrnice)190 System interface (bus)

200 Síťová sonda (aktivní režim, blokující, případně směrující)200 Network probe (active mode, blocking or routing)

200n Síťová sonda (pasivní režim, neblokující) • ·200n Mains Probe (Passive, Non-Blocking) • ·

300 Generátor behaviorálmch signatur300 Behavioral Signature Generator

345 Zařízení (počítač) zahrnující moduly 300,400, 500 a volitelně 700.345 Device (computer) including modules 300,400, 500 and optionally 700.

400 Klasifikátor400 Classifier

500 Dočasná paměť500 Temporary memory

600 Vysoce monitorovaný virtualizovaný počítač (honeypot)600 Highly monitored virtualized computer (honeypot)

610 Virtualizovaný operační systém (OS, případně Firmware)610 Virtualized Operating System (OS or Firmware)

690 Virtualizované rozhraní počítače (sběrnice atp.)690 Virtualized computer interface (bus, etc.)

700 Řídící a učící modul700 Control and learning module

900 Obecný signál (na schématu obvykle neznačené šipky, dle kontextu)900 General signal (usually unmarked arrows in the diagram, depending on context)

910 Běžný TCP/IP provoz (na schématu obvykle neznačené čáry)910 Normal TCP / IP traffic (lines not marked on the scheme)

911 Blokovaný provoz (nežádoucí komunikace)911 Blocked traffic (unwanted communication)

912 Legitimní provoz912 Legitimate traffic

920 Statistiky, předzpracovaný provoz (z 200)920 Statistics, preprocessed operation (of 200)

930 ASNM signatury (z 300)930 ASNM signatures (of 300)

940 Třídy klasifikace (všechny třídy z 400)940 Classification classes (all classes out of 400)

941 Pozitivní klasifikace (pravděpodobně nežádoucí nebo škodlivý provoz), škodlivá komunikace941 Positive classification (probably unwanted or harmful traffic), harmful communication

942 Negativní klasifikace (pravděpodobně legitimní provoz), legitimní komunikace942 Negative classification (probably legitimate traffic), legitimate communication

960 Informace o napadení (pozitivní i negativní, z 600)960 Infestation report (positive and negative, out of 600)

961 Informace, napadení bylo prokázáno961 Information, assault has been proven

962 Informace, napadení nebylo prokázáno962 Information, assault has not been proven

970 Detekční model970 Detection model

980 Sada reportů (GUI, Syslog, SIEM)980 Report Set (GUI, Syslog, SIEM)

Claims

PATENT CLAIMS

1. A method of detecting information and communication network attacks by advanced network attacks and malware, characterized in particular by analyzing the behavior of the passing data flow and analyzing the passing traffic flow of network traffic to determine behavior metrics representing the behavior of the network data flow from static, dynamic, distributional and behavioral behavior, which distinguishes legitimate data streams from dangerous data streams.

Method according to claim 1, characterized in that the harmfulness of the data flow is evaluated, its signatures are created based on the content and behavior, and are then updated by the detection module.

An apparatus for carrying out the method according to claim 1, characterized in that it comprises a router (40) to which at least one network probe (200) is connected in parallel to the network infrastructure (20, 30) with the behavioral signature generator (300) connected.

Device for carrying out the method according to claim 3, characterized in that the probe (200) with the associated behavioral signature generator (300) is connected directly to the router (40) and is connected to the classifier (400) and the vitrualized computer (600) and a control and learning module (700) arranged in the network infrastructure (20, 30).

Device for carrying out the method according to claims 1 and 2, characterized in that it comprises a probe (200) serially connected to a network infrastructure (20, 30) to which a block (345) containing a behavioral generator is connected via a system interface (190). signatures (300), classifier (400), and temporary memory (500), the virtualized computer (600) of the virtualized network (60) being connected via a network interface.

Device according to claim 5, characterized in that a temporary memory (500) is arranged in the block (345).