Sdn tabanlı dağıtık saldırı tespit ve önleme sistemi

Abstract

DNS kuvvetlendirme saldırısı bir tür yansıtma tabanlı, Dağıtık Hizmet Engelleme (Distributed Denial of Service, DDoS) saldırısıdır. Ağdaki kurbanların güvenilirliği ve dayanıklılığı açısından çok tehlikelidir. Bu tür saldırıları önlemek veya etkilerini azaltmak için hem geleneksel ağlarda, hem de Yazılım Tanımlı Ağlarda (Software Defined Networks, SDN) önemli miktarda çalışma yapılmaktadır. Bu çalışma, DNS tabanlı kuvvetlendirme saldırılarının, SDN tabanlı ağlardaki etkilerini tespit etmek ve azaltmak amacıyla yapılmıştır. Bu sistem, önleme sistemini başlatmak ve kurbanın yaşamını sürdürebilmesi için, Kuvvetlendirme Faktörü (Amplification Factor, AF) ve TTL (Time to Live), Hop Sayısı Değişimi (Hop Count Variation, HCV) hesaplayarak saldırıyı izlemeyi amaçlamaktadır. Bunu yaparken, metrikleri bir zaman serisi veri tabanına (Time Series Database, TSDB) kaydetmekte alarmlar üretmekte ve saldırının etkilerini azaltmaktadır. Deneysel sonuçlar, bu sistemin SDN tabanlı ağlarda kullanılabileceği ve reaktif bir şekilde saldırıyı önleyebileceğini göstermektedir. Ayrıca sadece DNS kuvvetlendirme/yansıtma saldırıları için değil UDP (User Datagram Protocol) tabanlı tüm kuvvetlendirme saldırıları için de kullanılabileceği görülmüştür.

DNS amplification is a type of reflection-based DDoS attacks, and they are very hazardous for the reliability of victims within the network. To prevent or mitigate such attacks, a significant amount of work is being done both on conventional networks and on SDN-based networks. This study aimed to detect and reduce the effects of DNS amplification attacks in SDN-based with the developed system. This system aims to monitor the variations in the amplification factor and TTL header to initiate mitigation and sustain the victim's life. It also ensures that legitimate packets are not suspected in the process. In doing so, it is aimed to generate alarms and mitigation by using the central management feature ofSDN, by writing the metrics into a time series database immediately. Experimental results show that this system can be used SDN-based networks and prevent an attack in reactively. It has also been observed that it can be used not only for DNS amplification attacks but also for other UDP-based amplification/reflection attacks.