主動式網路安全系統之理論研究與建構俞征武王俊鑫許慶賢梁秋國歐陽雯

主動式網路安全系統之理論研究與建構俞征武 ‧王俊鑫 ‧許慶賢 ‧梁秋國 ‧歐陽雯報告 : 俞征武

網路安全上的問題 1. 2. 3. 4. 5. 6. 7. 8. 9. 傳統網路架構在網路安全上的做法，有些需要改變硬體、通訊協定等，使其應用受到限制。使用 SNMP為基礎之自動化偵測、阻攻擊架構需要使用特定的硬體設備，旦無特定硬體攔一或則更換設備則安全系統就失去作用； SNMP連線機制並不能確保封包能正常到達目的且地，遭受大量攻擊時可能會發生 SNMP之控制命令封包無法成功傳送到目的裝置，使系在而統失去作用之情形。外使用 SNMP將攻擊電腦或子網路之連接埠關閉固然可以達成阻擋另攻擊之目的，但若是對需要保持網路一直連線之電腦則不適用此方式。使用核心路由器過濾封包，遭受大量攻擊時，因核心路由器負擔過重而影響正常封包當會傳遞。樣地，用集中式入侵檢測系統在遭受大量攻擊時，會因入侵檢測系統負荷過同使常重，來不及檢測每個封包而漏失攻擊封包。部分宣稱使用主動網路的研究雖然使網路節點有了運算能力，卻無法讓管理者自行安裝但或更新所需要的服務，而影響了與其他服務的相容性及擴充性，此限制違背了主動網進且路之基本原則，使之不能被稱之為真正的主動式網路環境。目前關於主動式網路安全系統之研究完全針對純粹主動式網路環境，無考慮到與目前舊並有網路設備並存之問題。使用移動式過濾服務之主動網路架構，遭受大量攻擊時還需使用網路大量搬移過濾服務在到目的主動節點，對於當時的網路情況無異是雪上加霜。以區域網路為基礎之阻斷服務攻擊研究，於對外頻寬被攻擊佔滿之情形並無解決方案，對且大部分研究僅有偵測與回報的功能，題的排除還是需要靠管理人員，無自動化處理問並之機制。僅有極少部分研究可偵測未知的阻斷服務攻擊，都有所限制，只能針對特定平台或 http 但如連線等，絕大部分研究都還是仰賴入侵檢測系統之既有特徵資料庫，特徵資料庫之更新且亦需靠管理人員。目前的阻斷攻擊服務相關研究都把焦點放在攻擊者與跳板攻擊電腦在外部網路或不同子網路的情形，而沒有探討這兩者位於同一子網路的情況。

解決方案之一 Active Networks 傳統網路被動地送資料，不對資料內容最更動主動式網路對封包作解讀及處理，改變了原先網路上傳送封包的單純角色將程式開發於網路設備上行決定其在網路上的行為，使其能自提供更具有彈性、且能快速適應新型態網路應用的網路平台，而不需更換新的硬體繁重作負擔能夠被分散於整個網路中

主動式網路安全系統子計畫一子計畫二子計畫三子計畫四子計畫五主動式網路型即時入侵偵測系統與入侵來源追蹤之研究主動式網路管理系統與主機型入侵偵測病毒防治系統隨意行動無線網路上黑洞問題之偵測及防衛隨意行動無線網路之定位服務系統內部網路安全 IP資源配置認證系統主動式網路系統架構 (Active Network System Framework) 主動式節點 (Active Nodes) 被動式節點 (passive Nodes) 傳統網路

計劃主持人總主持人俞征武總計劃之推動及子計劃間之協調計算機中心主任子計劃一主持人王俊鑫主動式網路型即時入侵偵測系統與入侵來源追蹤之研究計算機中心網路學習組長子計劃二主持人許慶賢主動式網路管理系統與主機型入侵偵測病毒防治系統計算機中心系統網路組組長子計劃三主持人俞征武隨意行動無線網路上黑洞問題之偵測及防衛同前子計劃四主持人梁秋國隨意行動無線網路之定位服務系統計算機中心主任 (曾任 ) 子計劃五主持人歐陽雯內部網路安全 IP資源配置認證系統 Nortel Networks 通訊網路資深研究員 (曾任 )

1 G 主動式網路安全系統 PC Firewall PC DHCP Server 子計劃五 Active switch Active router NIDS 子計劃一 PC 攻擊特徵資料庫子計劃四 AP Active switch HIDS 子計劃二攻擊特徵資料庫 PC PC 子計劃三

主動式網路型即時入侵偵測系統與入侵來源追蹤之研究子計劃 (一 ) 系統架構

主動式網路型即時入侵偵測系統與入侵來源追蹤之研究 • 將整合傳統的網路型入侵偵測系統與主動式的網路系統，開發一個智慧型的自我學習系統 • 網路入侵行為分析系統 : 經由網路封包攔截與封包資料的重整，重現使用者的網路行為並分析其意圖 • 封包攔截系統 : 動態輸入封包攔截的條件，讓管理者自訂想要攔截的 IP位址、MAC 位址、 Port甚至特定的字串等 • 網路行為分析重建系統 : 重現使用者的網路行為，如觀察使用者是否下載非法資料、瀏覽那些網頁等

主動式網路型即時入侵偵測系統與入侵來源追蹤之研究 • 入侵偵測、網路行為重現系統 – 封包過濾、監錄，並藉由蒐錄的封包，進行資料分析，還原使用者的網路行為 • 封包監錄系統 – 讓管理者自訂想要觀察的等　 • 網路行為重現系統 – http, ftp IP位址、MAC 位址、Port

封包監錄系統

資料流量異常分析

網路行為重現系統 (HTTP)

網路行為分析重建系統畫面

封包資料儲存

網路行為重現系統 (ftp)

主動式網路管理系統與主機型入侵偵測病毒防治系統子計劃 (二 ) 1 G PC Firewall PC DHCP Server 子計劃五 Active switch Active router NIDS 子計劃一 PC 攻擊特徵資料庫子計劃四 AP Active switch HIDS 子計劃二攻擊特徵資料庫 PC PC 子計劃三

• A Honey Pot Security Mechanism Based on Active Networks Objective – Detect novel Do. S attack, enhance system reliability • Methodology & Implementation – Worm spreading delivers close destination ports of packets – Subnet address associate with IP Trap concept is used as a honey pot to detect attack – Active switch with detection agent – 8 non-patched computers • With detection service, not infected during 72 hours • Without detection service, all infected in 1 hour

A Honey Pot Security Mechanism Based on Active Networks • Results – Experimental results show the proposed technique dispels risks from worm spreading Do. S attack – International Conference on Networks and Communication Systems April 2005.

A Framework of Congestion Control for Streaming Service Based on Active Network • Local control policy – Each active node (device) is responsible to monitor bandwidth utilization of its adjacent link for Qo. S – Advantages • Simple Method (network topology might variant dynamically) • Efficient - Minimize communication overheads in cooperation • Bandwidth sharing – Concurrent streaming links share the same uplink bandwidth – Short response time • Applications – E-campus & E-Learning – Multimedia & VOD – Data Grid. . .

Capsule: Connect msg Ack msg Filter capsule’s BW BW: 10 Change BW to 5 Change Data stream BW to 5 ============ Data stream Source S 1: msg Connect msg connect BW: 10 stream BW: 5 BW: 10 Drop overload data BW: 5 ID: 01 Send msg to s 1 Architecture Decrease Data stream BW to 5 and retransmit data Connect msg BW: 20 Connect msg BW: 10 BW: 20 connect msg Ack msg BW: 5 connect msg BW: 20 BW : Bandwidth Filter capsule’s BW Data stream Change BW to 10 BW: 5 ID: 02

Integrated Inter-Campus Wireless Network • Access to any resources, for anyone, anywhere, anytime, from any platform • Integrated Authentication Internet of Network Services • Redirect wireless connections to the Radius / Roaming Server • CHU-CSIE-TR-2004 -012 L 2 switch Radius Server Roaming Server L 2 switch Redirect Server L 2 switch Access Point (802. 11 b/802. 11 g)

主動式網路管理系統與主機型入侵偵測病毒防治系統 1. 針對資料封包的偵測進行統計及分析，進而建立特徵比對資料庫 (Characteristic Data Base)，實現資料以封包的過濾。 2. 針對不同的網路架構，發網路效能開之調整與管理具 (Performance Monitor and Management Toolkit)

Secure Wireless Network Based on RADIUS • The authentication of using wireless network is separated from the E-mail account • IEEE 802. 1 x Protocol • Requires EAP-MD 5 Client support • Implement Performance Monitoring System on Heterogeneous Active Network – Portable. NET Applications • Develop Attributes Oriented Host-based Packet Filtering Techniques

Internet L 2 switch Radius Server Roaming Server L 2 switch Redirect Server L 2 switch Access Point (802. 11 b/802. 11 g)

1 G 隨意行動無線網路上黑洞問題之偵測及防衛子計劃 ( 三) PC Firewall DHCP Server 子計劃五 Active switch Active router NIDS 子計劃一 PC PC 攻擊特徵資料庫子計劃四 AP Active switch HIDS 子計劃二子計劃三攻擊特徵資料庫 PC PC

隨意行動無線網路上黑洞問題之偵測及防衛 • 如何將一個黑洞的惡意節點找到並加以隔離 • 如何解決兩個以上黑洞的惡意節點的相關問題 • 考慮黑洞的另一種變形: 灰洞的惡意節點

隨意行動無線網路之定位服務系統子計劃 (四 ) 1 G PC Firewall DHCP Server 子計劃五 Active switch Active router NIDS 子計劃一 PC PC 攻擊特徵資料庫子計劃四 y 攻擊特徵資料庫 PC x AP Active switch HIDS 子計劃二 PC 子計劃三

隨意行動無線網路之定位服務系統研究重點 (一 ): – 在靜態的 Sensor Network環境 , 且感測點可分佈在任意位置的情況下 , 如何求得使用者的位置 – 此時假設每一個感測點的感測範圍大小不盡相同 , 感測範圍愈大 , 耗費電力愈多 – 研究主題 : (A) 在給定感測點的分佈下 , 如何調整每一個感測點的感測範圍大小 , 而能涵蓋所有區域 , 並使得總耗電力最小 (B) 在前一情況下 , 如何獲知使用者的位置 28

隨意行動無線網路之定位服務系統 • 研究重點 (二 ): – 在動態的 sensor network環境 , 如何求得使用者的位置 – 研究主題 : • (A) 使用者定位演算法 • (B) 求得 sensor 的移動軌跡 , 以保持隨時能定位出使用者的位置 29

研究重點 • 研究重點 : – 在靜態的 Sensor Network環境 , 且感測點可分佈在任意位置的情況下 , 如何求得使用者的位置 – 此時假設每一個感測點的感測範圍大小不盡相同 , 感測範圍愈大 , 耗費電力愈多 – 研究主題 : • (A) 在給定感測點的分佈下 , 如何調整每一個感測點的感測範圍大小 , 而能涵蓋所有區域 , 並使得總耗電力最小 • (B) 在前一情況下 , 如何獲知使用者的位置 30

研究成果 (一 ) • 研究成果 (一 ): – 利用感測點的位置求出連接這些感測點的最小成本生成樹 (Minimum cost spanning tree) – 針對每一感測點 , 求出其在最小成本生成樹連接線中之最遠距離為其感測半徑 31

研究成果 (一 ) • 研究成果(一): 32

研究成果 (一 ) • 研究成果(一): 33

研究成果 (一 ) • 研究成果(一): 34

研究成果 (二 ) • 研究成果(二): – 利用計算幾何中的 Delaunay Triangulation 性質能夠將感測的區域範圍切割成很多個三角形的區域 – 再決定欲感測的目標物位於哪一個三角形之內 – 一旦決定了哪一個三角形之後 , 就可以用位於此三角形的三個端點之感測點來進行感測並可調整這些感測點的感測範圍大小 , 其餘的感測點便可進入休眠狀態以節省電力 – 正進行實驗模擬中 , 以瞭解效能 35

研究成果 (二 ) • 研究成果(二): 36

研究成果 (二 ) • 研究成果(二): 37

研究成果 (二 ) • 研究成果(二): 38

內部網路安全 IP資源配置認證系統子計劃 (五 ) DHCP 1 G PC Firewall PC DHCP Server 子計劃五 Active switch Active router NIDS 子計劃一 PC 攻擊特徵資料庫子計劃四 AP Active switch HIDS 子計劃二攻擊特徵資料庫 PC PC 子計劃三

內部網路安全 IP資源配置認證系統 1. 針對內部網路入侵及安全進行研究及分析，而建立 IP資源配置系統及進認證系統及相關資料庫 2. 開發認證系統所需的 web-based 及 window-based管理具 3. 與其他子計畫合作，發內部網路攻開擊偵測及記錄系統

IP資源配置於主動式網路平台架設的實作 – – – – User authentication module (802. 1 x) User authentication database module False IP analysis module False IP detection module False IP notifying module False DHCP server analysis module False DHCP server detection module False DHCP server notifying module

本計劃發表之論文 1. 2. 3. 4. 5. 6. 7. 8. 李開文、許慶賢 , “校園無線網路的安全性建置 ” 技術文件. 游坤明、李文平、許慶賢 , “以主動式網路為基礎之安全網路架構 , ”第九屆資訊管理暨實務研討會 , pp. 222, 2003. (彰化 , 大葉大學 , 92/12/13) 游坤明、李文平、許慶賢 , “以主動式網路為基礎之安全網路架構 , ” 資訊管理學報 , to appear. 張舜超、俞征武 , “一個解決隨意網路黑洞問題的分散式機制 ” Mobile Computing Workshop 2004. Kunming Yu, Wen Ouyang, Ching-Hsien Hsu, and Wen-Ping Lee, “A Honey Pot Security Mechanism Based on Active Networks”, IASTED International Conference on Networks and Communication Systems. (NCS) April 2005. Ching-Hsien Hsu, Kun-Ming Yu, Chi-Hsiu Chen, C. W. Yu, and Chiu Kuo Lian ‘An Optimal Processor Replacement Scheme for Efficient Communication of Runtime Data Redistribution, ’ The Second International Symposium on Parallel and Distributed Processing and Applications (ISPA’ 2004), to appear Lecture Note in Computer Science (LNCS). H. S. Wang and C. K. Liang, ‘An ad hoc on-demand routing protocol with high packet delivery fraction’ The 1 st IEEE International Conference on Mobile Ad-hoc and Sensor Systems (MASS 2004). L. -H. Yen and C. W. Yu, ‘Link Probability, Network Coverage, and Related Properties of Wireless Ad Hoc Networks’ The 1 st IEEE International Conference on Mobile Ad-hoc and Sensor Systems (MASS 2004).

主動式網路安全系統之理論 研究與建構 俞征武 王俊鑫 許慶賢 梁 秋國 歐陽雯

主動式網路安全系統之理論研究與建構俞征武王俊鑫許慶賢梁秋國歐陽雯