-
Verwandte
Anmeldungen
-
Diese
Anmeldung entspricht inhaltlich einer Continuation in Part Anmeldung
mit der US Serial Number 10/158,115, eingereicht am 31. Mai 2002.
-
Technisches
Gebiet
-
Die
vorliegende Erfindung betrifft allgemein Systeme auf Computerbasis
und insbesondere Verfahren zum Erkennen von sicherheitsrelevanten
Angriffen in solchen Systemen.
-
Hintergrund
-
Angriffe
auf Webseiten haben in den letzten Jahren zu schwerwiegenden Unterbrechungen
der Netzwerkdienste geführt.
Diese Angriffe können
jede beliebige Form annehmen, einschließlich, aber nicht begrenzt
auf SYN Überflutung
oder Denial of Service (Dienstverweigerungs-) Angriffe.
-
Bei
einem SYN Überflutungsangriff überlastet
ein Angreifer die Site eines Opfers bis zu einem Punkt, wo sie den
eingehenden Verkehr nicht mehr bewältigen kann. Solch ein Angriff
konzentriert sich gewöhnlich
auf ein eigentümliches
Merkmal von Diensten auf TCP Basis.
-
TCP
Dienste verlassen sich beim Verbindungsaufbau im Wesentlichen auf
ein Dreiweg- Handshaking Protokoll. Ein Teilnehmer, der eine Verbindung
mit einem Host herstellen möchte,
sendet ein Synchronisationssignal (SYN) an den Host, und der Host
antwortet dem Teilnehmer mit einer SYN Bestätigungsantwort (ACK (von acknowledgement)). Der Teilnehmer
gibt dann eine Bestätigung
zurück, und
die Verbindung ist aufgebaut. Das Handshaking Protokoll ist in 1 dargestellt.
-
Bei
der Beendigung einer Verbindung sendet der Teilnehmer ein Endepaket
(FIN (von finish)) an den Host, das anzeigt, dass keine weiteren
Daten oder Pakets an den Host gerichtet werden, und danach wird
die Verbindung beendet.
-
Bei
einem SYN Überflutungsangriff
wird der Angreifer gewöhnlich
eine falsche oder ungültige Quellenadresse
benutzen, so dass, wenn der Host die SYN/ACK Meldung zurückgibt,
diese keinen gültigen
Teilnehmer erreicht. Bei Anwendung des TCP Protokolls speichert
der Host halb geöffnete
Verbindungen, d.h. Verbindungen, für die das dritte Element des
Dreiwegeprotokolls für
eine bestimmte Zeit nicht erledigt ist, bis ein System- Timeout
auftritt. Wenn während
dieser Zeitspanne eine Vielzahl von halb geöffneten Verbindungen auf der
Hostseite eingerichtet werden, wird der für die Pflege solcher Verbindungen
eingerichtete Speicher überlaufen
und schließlich
nicht mehr in der Lage sein, weitere SYN Pakets zu empfangen. In
diesem Stadium wird der Server oder Host zusammenbrechen oder auf
keine weiteren neuen Verbindungen antworten, und die Site geht außer Betrieb.
Weil der Host nicht in der Lage ist, weitere Daten zu empfangen,
war der Angreifer erfolgreich beim Erzeugen eines Zustands, der
als Denial of Service (Dienstverweigerungs-) Angriff bekannt ist.
Denial of Service Angriffe sind zu einer zunehmend in den Vordergrund
tretenden Form von Sicherheitsbedrohung geworden, und das Problem
war bis jetzt recht schwierig zu lösen. Es wurden mehrere Gegenmaßnahmen
vorgeschlagen und können
als Firewall und Routerfilterung, Betriebssystemverbesserungen,
Protokollverbesserungen und Erkennung von Eindringlingen charakterisiert
werden.
-
Auf
dem Gebiet der Sicherheit gegen Angriffe existiert ein beachtenswerter
Stand der Technik, und das Problem ist gut beschrieben in einer
Veröffentlichung
von C. Schuba, I. Krsul, M. Kuhn, E. Spafford, A. Sundaram and D.
Zamboni mit dem Titel "Analysis
of a denial of service attack on TCP", veröffentlicht in den Proceedings
des 1997 IEEE Symp. Security and Privacy. Das Dokument von Schuba
u.a. beschreibt das Problem und die klassischen Lösungen für einen
Proxy Dienst: das TCP Relay und der halbtransparente TCP Gateway.
Bei diesen beiden Lösungen
fängt eine
Firewall TCP Verbindungen ab, pflegt den Status der TCP Statusmaschine
und führt neue
Pakets ein, um die Angriffe abzuwehren.
-
Die
Proxy Lösungen
nach dieser Publikation müssen
für jede
Verbindung die Status der entsprechenden TCP Statusmaschine pflegen.
Dieser Mechanismus benötigt
eine Menge Ressourcen und kann selbst wieder das Ziel eines neuen
Denial of Service Angriffs werden. Somit machen die hohen Kosten
für den
Rechnereinsatz diese Lösung
ungeeignet für
Netzwerkrouter oder Switches.
-
Eine
zweite Lösung
nach dem Stand der Technik, die näher an der vorliegenden Erfindung liegt,
ist beschrieben in H. Wang, D. Zhang and K.G. Shin, "Detecting SYN flooding
attacks", Proc.
Infocom 2002. Das Verfahren nach Wang et al. beruht auf einem Zählerargument
der SYN und FIN Pakets bei den TCP Verbindungen. Diese Pakets sollten
in jeglichen ordentlich ablaufenden Verbindungen paarweise auftreten.
Somit sollte die Anzahl der SYN Pakets ungefähr der Anzahl der FIN Pakets
entsprechen. Die Einfachheit dieses Verfahrens beruht auf dem statusfreien
und niedrigen Kosten für
den Rechnereinsatz, wodurch es den Detektionsmechanismus selbst
immun gegen Überflutungsangriffe
macht. Diese Einfachheit ermöglicht,
dass die Detektion in den Blattroutern durchgeführt werden kann, die Endhosts mit
dem Internet verbinden.
-
Die
Gegenmaßnahme
nach Wang et al. hat einen größeren Schwachpunkt.
Wenn Angreifer das Detektionsprotokoll, das bei diesem Verfahren
angewandt wird, genau kennen, können
sie diesen Ansatz durchkreuzen, indem sie einfach die Router überfluten
mit synchronisierten SYN und zusammenhanglosen und oft ungültigen.
FIN Pakets. Damit wären
die Stände
von SYN Zähler
und FIN Zähler
ungefähr gleich.
Doch der TCP/IP Stapel des Opfers wäre offen für viele halb geöffnete Verbindungen,
die von den ungültigen
FIN Pakets nicht geschlossen würden.
Das entspricht dem ursprünglichen
Denial of Service Angriff. Das US Patent 6,321,338 an Porras et
al., erteilt am 20. November 2001, mit dem Titel "Network Surveillance" stellt auch Stand
der Technik für
diese Technologie bereit. Entsprechend dem Porras et al. Patent
wird ein Verfahren zur Verfügung
gestellt zur Netzwerküberwachung
einschließlich
der empfangenen Netzwerkpakets, die von einer Netzwerkeinheit bearbeitet
werden und wenigstens ein langfristiges und wenigstens ein kurzfristiges
statistisches Profil bilden aus einer Messzahl der Netzwerkpakets,
die den Datentransfer, die Fehler oder die Verbindungen überwacht.
Ein Vergleich der statistischen Profile wird herangezogen zur Beurteilung,
ob der Unterschied der statistischen Profile eine verdächtige Netzwerkaktivität anzeigt.
-
Das
US Patent 6,321,338 offenbart weiterhin, zusätzlich zu den oben erwähnten Details,
dass Intensitätsmessungen
der Ereignisströme
z.B. der ICMP Pakets, besonders geeignet sind für das Erkennen von Überflutungsangriffen.
Weiterhin offenbart das Patent, dass Intensitätsmessungen, die SYN Meldungen
mit SYN_ACK Meldungen korrelieren, eine Mengenanalyse von SYN/RST
Meldungen oder TCP/FIN Meldungen nützlich sind, die Verfügbarkeit
von Ports oder Scanning Angriffe zu erkennen.
-
Ein
zweites Patent von Interesse ist das US Patent 5,958,053, das am
28. September 1999 an Denker erteilt wurde mit dem Titel "Communications protocol
with improved security".
Entsprechend dem Denker Patent umfasst die darin beschriebene Erfindung
zwei neue Protokolle auf der ersten Ebene und einige Ausführungsbeispiele
eines Protokolls einer zweiten Ebene. Die beiden erfindungsgemäßen neuen
Protokolle auf der ersten Ebene umfassen das TCP2B Protokoll und
das TCP2E Protokoll. Im TCP2B Protokoll zeigen sowohl der Klient
als auch der Server ihre Unterstützung
für dieses
Protokoll an, indem sie ein oder mehrere Bits im TCP Header benutzen.
Entsprechend dem TCP2B Protokoll sendet der Klient seine angeforderten
Optionen in der ACK Meldung erneut, so dass der Server die Optionen nach
der Verbindungsanforderung nicht speichern muss. Im TCP2E Protokoll
pflegt der Server eine "Freundes"- Tabelle, die Adressen
speichert, die vor kurzem beobachtet und als in Übereinstimmung mit TCP befunden
wurden. Wenn eine Klientenadresse in der Freundestabelle enthalten
ist, erfolgt die Bearbeitung der Verbindungsanforderung nach TCP.
Andernfalls sendet der Server eine Bestätigungsmeldung an den Klienten,
um diesen aufzufordern, eine Reset Meldung (RST) zu senden. Die
Klientenadresse kann dann in die Freundestabelle aufgenommen werden.
-
Das
Patent 5,958,053 offenbart die Verwendung einer Hashing Funktion
an den Quellen- und an den Ziel- IP Adressen, den Portnummern plus
einem Geheimschlüssel,
der nur dem Server bekannt ist, zum Auseinanderhalten von SYN Pakets.
Zusätzlich offenbart
das Patent das Pflegen einer Hash Tabelle, die Zählwerte enthält, die
entsprechenden Klienten zugeordnet werden, um erfolglose Versuche
zu erkennen, wie sie bei SYN Überflutungsangriffen
auftreten würden.
Jeder Zähler
wird heruntergezählt, nachdem
eine SYN Meldung von seinem entsprechenden Dienst empfangen wurde,
und heraufgezählt,
wenn eine Verbindung zwischen dem Klienten und dem Server nach dem
Empfang der ACK vom Klienten erfolgreich aufgebaut wurde.
-
Denial
of Service Angriffe benutzen häufig TCP
Setup SYN Meldungen, um Zielspeicher mit falschen Verbindungsanforderungen
zu überfluten.
Um solche Angriffe zu erkennen, wurde eine Anzahl von Heuristika
auf Statistikbasis entwickelt, die SYN- gegen FIN- Meldungen zählen und
ein Ungleichgewicht als Angriff kennzeichnen. Unglücklicherweise kann ein
Angreifer eine Anzahl dieser Systeme überlisten, indem er es mit
ebenso vielen FINs wie SYNs überflutet,
aber die FINs ohne Beziehung zu den SYNs hält.
-
Das
ist auch erkennbar, wenn das Erkennungssystem fähig ist, eine Tabelle aller
SYNs zu pflegen, und nur solche FINs zu zählen, die zu einer gültigen SYN
gehören.
Bei Anwendungen mit hoher Bandbreite kann es unglücklicherweise
vorkommen, dass es nicht möglich
ist, solch eine umfangreiche Tabelle von Verbindungen zu pflegen.
-
Die
im US Patent 5,958,053 angegebene Lösung überwacht die Verbindungen nur
auf Basis der IP Adressen und Port Nummern.
-
Ein
weiterer Stand der Technik wird im Patentdokument EP-A-1 154 610 angegeben.
Dieses Dokument beschreibt ein Verfahren und ein System zur Abwehr
eines SYN Überflutungsangriffs
in einer Servereinheit eines IP Netzes. Die Servereinheit betreibt
TCP und ermöglicht
den Aufbau von TCP Verbindungen mit Klienteneinrichtungen. Immer
wenn die Servereinheit eine SYN Meldung empfängt, berechnet der Servercomputer
eine ISR (Initial Sequence number Receiver side (= ursprüngliche
Sequenznummer auf Empfängerseite))
und antwortet der Klienteneinrichtung mit einer SYN-ACK Meldung, die
die berechnete ISR enthält.
Bei jedem Empfang einer ACK Meldung wird die ISR überprüft. Wenn
die Prüfung
negativ ist, wird die ACK Meldung verworfen. Wenn die Prüfung bestanden
wird, wird die ISR als eine authentische berechnete ISR akzeptiert
und entsprechend decodiert. Dann wird tatsächlich eine TCP Verbindung
aufgebaut. Somit wird eine TCP Verbindung nur aufgebaut, wenn ein
Klient die reguläre TCP
Dreiweg Handshaking Prozedur abschließt, wodurch das Erzeugen halb
offener Verbindungen, beispielsweise durch DoS oder DDoS Angriffe
vermieden wird.
-
Dies
ist ein weiterer Ansatz. Er benutzt keine Hashing Tabelle. Er ist
darauf gerichtet, eine Verbindung für gültig zu erklären, bevor
sie aufgebaut wird, um gegen Angriffe zu schützen und solche Angriffe abzuwehren.
-
Die
besten Lösungen
nach dem Stand der Technik, die den Erfindern bekannt sind, überwachen den
Verkehr und sammeln Statistikdaten auf Basis SYNs gegen FINs, und
zeigen einen Angriff an, wenn eine Diskrepanz auftritt. Es gibt
keine Korrespondenzprüfung
zwischen den ausgehenden SYNs und eingehenden FINs. Dies lässt eine
Lücke,
die auch von einem gewitzten Angreifer genutzt werden kann, weil
der Angreifer ein Opfer mit SYN Pakets und nichtkorrespondierenden
FIN Pakets überfluten kann.
Das Opfer häuft
halb geöffnete
Verbindungen an, und der Detektor ist überlistet.
-
Die
gleichzeitig anhängige
Anmeldung US 10/158,115 offenbart eine Verbesserung des Standes der
Technik, indem sie eine Korrespondenz zwischen SYNs und FINs aufrechterhält, wodurch
die Sicherheitslücke
geschlossen wird. Dies geschieht durch Verwendung einer Hash Funktion
zur Kartierung von SYN Meldungen zu entsprechenden FIN Meldungen.
-
Die
zuvor genannte Anmeldung stellt auch einen kohärenten Weg zur Verfügung, um
mit Reset Pakets umzugehen.
-
Zusammenfassung
-
Die
vorliegende Erfindung ist gerichtet auf einen Mechanismus, der die
Korrespondenz zwischen SYN Pakets und FIN Pakets ermittelt. Sie
vergrößert die
Wirkung des Mechanismus, der in der gleichzeitig anhängigen Anmeldung
US 10/158,115 eingeführt wird
durch Anwendung von Sequenznummern in die Berechnung. Entsprechend
der vorliegenden Erfindung wäre
es nicht möglich,
den verstärkten
Mechanismus mit einem einzigen Angriffstool-Programm zu umgehen, das keine ausdrücklichen
Informationen von einem Angriffsopfer empfängt.
-
Somit
wird entsprechend der vorliegenden Anmeldung ein Verfahren zur Erkennung
von Denial of Service Angriffen auf eine Verbindung in einem digitalen
Kommunikationssystem bereitgestellt, wobei das Verfahren die folgenden
Schritte umfasst:
- a) Berechnen eines ersten
Wertes für
ein verbindungsherstellendes Paket während einer vorbestimmten Zeitspanne
bei Anwendung einer Hash Funktion mit Quellen- und Ziel IP Adressen,
Quellen- und Ziel Portnummern und einem Geheimschlüssel als
Eingangsparameter;
- b) Verarbeiten eines Teils der nachfolgenden Pakets durch Addieren
des ersten Wertes zu einem zweiten Wert, der von einer Sequenznummer
jedes verarbeiteten nachfolgenden Pakets und der vorbestimmten Zeitspanne
abhängt,
um entsprechende Indices für
eine Hash Tabelle zu erhalten, wobei die Hash Tabelle Zählerwerte
für gegenwärtige, vorhergehende
und nächste
Speicherplätze
enthält,
in die die verarbeiteten Pakets einkartiert werden; und
- c) Feststellung, ob ein Denial of Service Angriff vorliegt durch
Auswertung entsprechender Indices, wobei ein Angriff dann angezeigt
wird, wenn der aus einem verarbeiteten Paket berechnete Index nicht
auf einen momentanen, vorhergehenden oder nächsten Speicherplatz zeigt,
der einen Zählerwert
größer als
null hat.
-
Kurze Beschreibung
der Zeichnungen
-
Die
Erfindung wird im Folgenden detaillierter beschrieben mit Bezug
auf die anhängenden
Zeichnungen, in denen:
-
1 das
TCP Initialisierungsprotokoll zeigt; und
-
2 ein
Ausführungsbeispiel
der vorliegenden Erfindung zeigt.
-
3A und 3B sind
Flussdiagramme, die den Prozess nach der vorliegenden Erfindung zeigen.
-
Detaillierte
Beschreibung der Erfindung
-
1 zeigt
das TCP/IP Protokoll für
das Starten einer Verbindung von einem Klienten zu einem Host oder
Server.. Ein Klient sendet ein Verbindungsaufbausignal (SYN) an
den Server, und der Server antwortet dem Klient mit einer SYN/ACK
Meldung, die zurück
an den Klienten gesendet wird. Der Klient gibt dann eine Bestätigungsmeldung
zurück, die
die Verbindung vollständig öffnet.
-
Bei
der Beendigung einer Verbindung sendet der Klient eine FIN- oder
Verbindungsabschlussmeldung an den Host oder Server, der die Meldung
bestätigt,
und der Server sendet eine Bestätigung,
um die Verbindung formal zu schließen.
-
Wie
zuvor erläutert,
wird, wenn der dritte Weg der Verbindungsaufbaumeldung, d.h. die
Bestätigung
des Klienten an den Server, beim Server nicht empfangen wird, hält der Server
eine Aufzeichnung der halb geöffneten
Verbindung aufrecht, und eine Vielzahl solcher halb geöffneter
Verbindungen kann den Server überlasten,
was zu einem Zusammenbruch und zur Unterbrechung des Dienstes führt.
-
Es
wird davon ausgegangen, dass die vorliegende Erfindung besonders
bei Routern Anwendung finden wird, die am Rand des Internet liegen
und Zugang von einem lokalen Gebietsnetz zum Internet oder allgemein
zum Netzwerk bieten. Sie kann auch in einem Switch, einer Firewall
oder einem Host usw. eingesetzt werden. 2 ist ein
Blockschaltbild dieser Anwendung auf hoher Ebene, die den Router zeigt,
der den Mechanismus zum Ausführen
des erfindungsgemäßen Verfahrens
enthält.
-
Die
SYN Überflutungsangriffe
können
wirksam erkannt werden durch Pflege der Status der Verbindungen
in einer Hash Tabelle. Solch ein System kann effizienter sein als
die anderen Verfahren, die bei der Diskussion des Standes der Technik
identifiziert wurden. Die damit verknüpfte Hash Funktion. muss kollisionsresistent
sein, d.h. es muss rechnertechnisch unmöglich sein, zwei Paare am gleichen Speicherplatz
eingetragen zu finden. Das kann mit einer getasteten Funktion erreicht
werden.
-
Deshalb
können
eingehende Signalpakets (SYN, SYN/ACK, FIN, RST) bei der vorlegenden
Erfindung durch eine geheime Hash Funktion auf Speicherplätze kartiert
werden, und die Statistik kann für jeden
Speicherplatz gepflegt werden, anstatt für das gesamte System. Ein einfacher
Zähler
kann herauf gezählt
werden bei SYNs und heruntergezählt
bei FINs für
jeden Speicherplatz. Auf diese Weise kann es wenigstens eine statistische
Korrespondenz zwischen SYNs und FINs geben, und ohne Kenntnis der Mappingfunktion
hat der Angreifer keine Möglichkeit, FINs
so nachzumachen, dass sie (ohne Korrespondenz zu dem gleichen SYN)
auf den gleichen Speicherplatz kartiert werden. Das beruht auf der
Annahme, dass der Angreifer nur zwei Möglichkeiten hat; entweder den
Dreiwege- Handshake abzuschließen und
schließlich
die Verbindung, oder den Dreiwege- Handshake nicht abzuschließen und
den Klienten mit einer halb geöffneten
Verbindung zurücklassen.
Die Mappingfunktion könnte
[Quellen IP, Ziel IP, Zielport, Schlüssel] auf n Speicherplätze hashmäßig verteilen. Die
Wahl von n ist ein Kompromiss zwischen höheren Anforderungen an den
Checkmechanismus und der Wirksamkeit des Systems. Als Beispiel würden bei
n = 100 zu viele statistische Kollisionen bei einem Angriff riskiert
(d.h. das System könnte
den laufenden Angriff nicht erkennen); n = 106 wäre viel
besser in Bezug auf Kollisionen; aber der Speicherplatzbedarf wäre (beispielsweise)
für einen
kleinen Router zu groß.
Es könnten
tatsächlich
alle Datenstrukturen verwendet werden, die Einfügen, Mitgliedschaftsabfragen
und wahlweise Entfernen unterstützen
(z.B. Bloom- Filter mit getasteter Hash Funktion). Das Hauptanliegen
ist, eine effiziente Datenstruktur zu haben, bei der falsche positive
Mitgliedschaftsabfragen sehr niedrig sind. Das ist der Grund, weshalb
die Größe der Tabelle
riesig ist.
-
Der
Schlüsselparameter
ermöglicht,
dass der Hash Algorithmus bekannt sein kann, aber dass die Korrespondenz
zwischen [IPs, Ports] und Speicherplatz vor dem Angreifer verborgen
bleibt. Somit wäre
der Schlüssel
eine Zufallszahl, die nur dem Detektionssystem bekannt ist.
-
Ein
globaler Zähler
würde gepflegt,
um alle offenen Verbindungen zu verfolgen. Es wäre das Herz der Logik, die
entscheidet, ob ein Angriff stattfindet.
-
Denial
of Service Angriffe sind zu einer zunehmend in den Vordergrund tretenden
Form von Sicherheitsbedrohung geworden, und das Problem scheint
recht schwierig zu lösen
zu sein, weil die Angriffe sich auf Eigenschaften stützen, die
der TCP/IP Infrastruktur innewohnen. Die vorliegende Erfindung stellt
ein Mittel zur Erkennung von Denial of Service Angriffen zur Verfügung, das
wirksamer und robuster ist als bekannte Verfahren.
-
Somit
ist die Erfindung bezogen auf ein Verfahren zum Erkennen von Denial
of Service Angriffen des Typs mit Überflutung, bei dem die SYN
Meldungen mit den FIN Meldungen in Übereinstimmung gebracht werden
bei Verwendung eines Hash Algorithmus, der für zusätzliche Sicherheit einen Schlüssel enthält.
-
Die
Erfindung beruht auf einem Verfahren des Messens verbindungsherstellender
Pakets (SYN) und verbindungsauflösender
Pakets (FIN), die bei einem Router während eines vorbestimmten Zeitintervalls
empfangen werden. Informationen im Paket wie Quellen- und Ziel-
IP Adressen, Port Nummern und ein geheimer Schlüssel werden benutzt, um mittels
einer Hash Funktion einen Wert zu berechnen. Das Haupt- Unterscheidungsmerkmal
des Verfahrens ist das Verarbeiten eines nach Wahrscheinlichkeitsgesetzen
bestimmten Anteils der Pakets einer Verbindung bei Verwendung eines
Hash Algorithmus zur Feststellung, ob die Pakets zu dem Fluss gehören, den
das TCP SYN Paket ausgelöst hat.
Der Hash Algorithmus enthält
für zusätzliche
Sicherheit einen Geheimschlüssel.
Das Ergebnis der Hash Funktion wird zu einem Wert addiert, der von der
Sequenznummer (oder wahlweise von dem ACK Flag) eines Pakets, das
verarbeitet wird, und von der TCP Fenstergröße der Verbindung abhängt, um
einen Index für
eine Hash Tabelle zu berechnen. Alle Speicherplätze der Hash Tabelle enthalten
einen Zähler
entsprechend der Anzahl der Elemente, die auf diesem Speicherplatz
eingespeichert werden. Wenn der aus einem verarbeiteten Paket berechnete Index
nicht auf einen momentanen, vorhergehenden oder nachfolgenden Zählerwert
zeigt, der größer als null
ist, dann gehört
das verarbeitete Paket nicht zu irgend einem Fluss, der von einem
TCP SYN Paket ausgelöst
wurde, und das verarbeitete Paket wird verworfen. Während die
Pakets verarbeitet werden, werden die Zählerwerte in den Speicherplätzen aufrechterhalten.
-
Gewöhnlich werden
die Speicherplatz- Zählwerte
am Ende des vorbestimmten Zeitintervalls zurückgesetzt, das entweder ein
kontinuierlich gleitendes Fenster oder ein nicht überlappendes
gleitendes Fenster ist.
-
Das
Verfahren zur Erkennung eines Denial of Service Angriffs beruht
auf der Verwendung von einem beliebigen aus kumulativer Summe, gleitendem Mittelwert
oder einer Filterableitung, um Änderungen im
globalen Zähler
zu erkennen.
-
Eine
strengere Korrespondenz zwischen den SYN Pakets und den FIN Pakets
ist wünschenswert, ohne
dass alle Pakets der Verbindung zu zergliedern. Die vorherigen Lösungen müssen entweder
alle Pakets bearbeiten – was
zu langsam ist für
eine Netzwerkeinrichtung – oder
ihre Korrespondenz nur auf die IP Adressen und TCP Ports beschränken – zu schwach.
-
Aus
der Sicht jedes Teilnehmers wird eine TCP Verbindung ausgelöst mit einem
TCP SYN Paket und abgeschlossen von einem TCP FIN Paket. Die Korrespondenz
zwischen diesen Pakets kann überprüft werden
durch Überwachen
der Paket- Sequenznummern. Diese Zahlen müssen in Übereinstimmung mit einigen
Regeln steigen. Der ursprüngliche
Wert dieser Sequenz wird bestimmt von der Initial Sequence Number,
die im TCP SYN Paket gesetzt wird.
-
Ein
offensichtlicher Weg, um zweifelfrei die Korrespondenz zwischen
einem TCP SYN Paket und einem TCP FIN Paket festzustellen, ist,
den Fensteralgorithmus des TCP Protokolls zu simulieren. Das setzt
voraus, dass alle Pakets zerlegt werden müssen.
-
Um
dies zu vermeiden, wird ein neuer Mechanismus vorgeschlagen, der
auf einer geheimen Hash Funktion beruht.
-
Entsprechend
dem neuen Mechanismus unterstützt
eine Hash Tabelle folgende Operationen: Einfügen, Entfernen und Abfrage.
Mit der Hash Tabelle ist eine geheime Hash Funktion verknüpfttatsächlich kann
mehr als eine Funktion erforderlich sein, z.B. Bloom Filter. Die
Funktion muss ein geheimes Argument enthalten, um einen böswilligen
Angreifer daran zu hindern, diesen Mechanismus zu überlisten.
-
Wie
erwähnt,
benutzt in der gleichzeitig anhängigen
US Anmeldung 10/158,115 die Hash Funktion die folgenden Eingangsparameter
(SecretValue, IPSOURCE, IPDEST,
PortSOURCE, PortDEST).
Solche Funktionen können
auf Basis von Einweg Hash Funktionen wie MD5 oder SHA-1 durchgeführt werden.
-
Der
erfindungsgemäße Mechanismus
ist wie folgt:
Beim Empfang eines TCP SYN Pakets mit ISNSOURCE als Initial Sequence Number wird die
Tabelle T wie folgt aktualisiert:
Füge ein Element -z.B. durch
Addieren von 1 zu einem Zähler in
den Tabelleneingang beim Index Hash (SecretValue,
IPSOURCE, IPDEST,
PORTSOURCE, PORTDEST)
+
Floor (SNSOURCE/(TCP Window Size·t))
-
Wobei
t eine Vertrauensziffer ist, die auf 210 gesetzt
wird. Die Floor Funktion kann wie folgt definiert werden: Floor
(x) = die größte Ganzzahl,
die kleiner oder gleich x ist.
-
Für jedes
nachfolgende Paket der Verbindung
-
Bestimme
mit der Wahrscheinlichkeit von p ~ 0,01, ob dieses Paket zu verarbeiten
ist. Wenn das Paket in den Wahrscheinlichkeitsbereich fällt, wird
es verarbeitet durch Feststellung, ob der Tabelleneintrag beim Index Hash (SecretValue, IPSOURCE,
IPDEST, PORTSOURCE, PORTDEST) +
Floor (ISNSOURCE/(TCP
Window Size·t))(als
momentaner Speicherplatz bezeichnet)
oder beim Index
Hash (SecretValue, IPSOURCE,
IPDEST, PORTSOURCE, PORTDEST) +
Floor (SNSOURCE/(TCP
Window Size·t)) – 1(als
vorhergehender Speicherplatz bezeichnet)
oder beim Index Hash (SecretValue, IPSOURCE,
IPDEST, PORTSOURCE, PORTDEST) +
Floor (SNSOURCE/(TCP
Window Size·t))
+ 1(als nächster
Speicherplatz bezeichnet)
größer als null ist. Der Wert
SN bezeichnet die Paket Sequenznummer. Wenn dies der Fall ist, wird
das Paket akzeptiert. Andernfalls wird das Paket als nicht zu dem
-
Datenstrom
gehörend
erkannt, der von dem TCP SYN Paket ausgelöst wurde. Weil die Sequenznummer
des Pakets empfangen wurde, nachdem die Initial Sequence Number
erhöht
wurde, muss die Hash Funktion plus der Sequenznummer größer sein als
die Hash Funktion für
das ursprüngliche
SYN Paket.
-
Schließlich, wenn
der Speicherplatz leer ist und der vorhergehende nicht leer ist,
wird ein Paket bei dem momentanen Speicherplatz addiert, und ein Paket
wird vom vorhergehenden Speicherplatz entfernt. Dies geschieht,
um sicherzustellen, dass der Speicherplatz, der das nächste Paket
erhalten soll, fortschreitet, so wie sich die Sequenznummern der Pakets
erhöhen.
-
Der
Vertrauensfaktor t stellt mit guter Wahrscheinlichkeit sicher, dass
das vorhergehende Paket, das verarbeitet wurde – oder das SYN Paket – im momentanen
Speicherplatz oder im vorhergehenden eingefügt wurde.
-
Beim
Empfang eines TCP FIN Pakets läuft der
Prozess wie oben beschrieben. In diesem Fall wird jedoch, wenn das
TCP FIN Paket als ein gültiges erkannt
wurde, das entsprechende Element in der Hash Tabelle vom momentanen
Speicherplatz oder vom vorhergehenden entfernt. Das gilt auch beim Empfang
eines TCP RST Pakets.
-
Die 3A und 3B sind
Flussdiagramme, die den neuen Mechanismus nach der vorliegenden
Erfindung zeigen.
-
Wie
in 3A dargestellt, wird ein Anteil eingehender Pakets,
die keine SYN, FIN oder RST Pakets sind, die unter das Auswahlkriterium
p fallen, verarbeitet, um den Hash Speicherplatz auf Basis von IP
Port Nummer und Sequenznummer zu berechnen. Zu diesem Zeitpunkt
werden der vorhergehende und der nachfolgende Speicherplatz in Relation
zu dem momentanen ermittelt. Wenn der momentane Speicherplatz nicht
leer ist, wird das Paket akzeptiert. Wenn er leer ist, wird festgestellt,
ob der vorhergehende Speicherplatz leer ist. Wenn dieser nicht leer
ist, wird das Paket auf dem vorhergehenden Speicherplatz entfernt,
und das Paket wird auf dem momentanen Speicherplatz eingefügt. Wenn
der vorhergehende Speicherplatz auch leer ist, wird festgestellt,
ob der nachfolgende Speicherplatz leer ist. Wenn das der Fall ist,
wird das Paket verworfen, andernfalls wird es akzeptiert.
-
3B zeigt
den Prozess, wenn das eingehende Paket ein FIN Paket oder ein RST
Paket ist. In diesem Fall wird der Hash Speicherplatz auf Basis von
IP Port Nummern und der Sequenznummer berechnet. Es werden wiederum
die vorhergehenden und die nachfolgenden Speicherplätze in Relation
zu dem momentanen ermittelt. Wenn der momentane Speicherplatz nicht
leer ist, wird das Paket akzeptiert. Wenn der momentane Speicherplatz
leer ist und wenn der vorhergehende Speicherplatz nicht leer ist, wird
das Paket auf dem vorhergehenden Speicherplatz entfernt, und das
neue Paket wird akzeptiert. Andernfalls wird das Paket zurückgewiesen.
-
Eine
Variante dieses Algorithmus ist, die Berechnung auf Basis der Bestätigungsnummern
anstelle der Sequenznummern durchzuführen. Diese Variante beruht
auf der Tatsache, dass die meisten TCP/IP Stapellösungen das
ACK Flag bei jedem Paket setzen – ausgenommen bei dem ursprünglichen SYN
Paket.
-
Das
bietet einen größeren Vorteil,
wenn ein Server seiner eigenen Wahl der Initial Sequence Number
vertraut, nicht aber der des Klienten. Diese Lösung verhindert, dass zwei
bösartige
Angreifer die gleiche Initial Sequence Number benutzen können, damit
diese sich gegenseitig beim Verkehr mit dem Server stören. Deshalb
baut der Server die Kommunikation auf bei Anwendung seiner eigenen
Initial Sequence Number und der vom Klienten gesendeten Bestätigungsnummer.
-
Der
Mechanismus nach der vorliegenden Erfindung stellt eine stärkere Korrespondenz
bereit als die Hash Lösung,
die die Sequenznummern nicht berücksichtigt.
Das resultiert in einer schnelleren Lösung als die zuvor erwähnte offensichtliche
Lösung, die
den TCP Fensteralgorithmus simuliert. Jedenfalls würde eine
solche Lösung
eine Hash Funktion benutzen, um die Datenstrukturen aufrechtzuerhalten
und die Sequenznummern beizubehalten.
-
Denial
of Service Angriffe sind zu einer zunehmend in den Vordergrund tretenden
Form von Sicherheitsbedrohung geworden, und das Problem scheint
recht schwierig zu lösen
zu sein, weil die Angriffe sich auf Eigenschaften stützen, die
der TCP/IP Infrastruktur innewohnen. Die vorliegende Erfindung stellt
ein Mittel zur Erkennung von Denial of Service Angriffen zur Verfügung, das
wirksamer und robuster ist als bekannte Verfahren.
-
Obwohl
besondere Ausführungsbeispiele beschrieben
und dargestellt wurden, ist es für
den Fachmann offensichtlich, dass zahlreiche Änderungen eingeführt werden
können,
ohne vom Grundkonzept abzuweichen.