STRUCTURE

Um resumo de trabalhos recentes focados no combate aos ataques de DDoS em redes convencionais é apresentado na Tabela 2.1. A Tabela 2.2 apresenta algumas abordagens recentes de combate ao DDoS baseadas no paradigma SDN. Em ambos os casos, foram verificadas na revisão bibliográfica, as principais diferenças, semelhanças e deficiências de cada uma das abordagens de enfrentamento ao DDoS. Detalhes da arquitetura, técnicas de detecção, atuação e processo de validação também são destacados. Nesta revisão, constata-se que, até o momento, não existe unanimidade quanto a uma solução efetiva de controle a essa ameaça digital. Entretanto, a maioria das pesquisas indicam que a solução para esse problema requer um maior engajamento entre os provedores de conteúdo e de serviços da Internet por meio de sistemas colaborativos.

Tabela 2.1: Resumo de propostas de combate ao DDoS em redes convencionais. Referência Escopo Téc. Detecção Atuação Validação Jazi et al. (2017) (L) (O) (D) Offline Behal et al. (2018) (D) (O) (D) Online Wang et al. (2018) (L) (O) (D),(M) Online

Dousti et al. (2018) (D) - (M) -

Jalan et al. (2018) (L) (O) (D),(M) Online Hosseini & Azizi (2019) (L) (A) (D) Offline Aamir & Zaidi (2019) (L) (A) (D) Offline Liu et al. (2019) (L) (O) (D),(M) Online

Esta tese (D) (A) (D),(M) Online

Escopo: (L)ocal, (D)istribuído. Atuação: (D)etecção, (M)itigação.

2.4. RESUMO 15

Tabela 2.2: Resumo de propostas de combate ao DDoS em redes SDN. Referência Escopo Téc. Detecção Atuação Validação Giotis et al. (2014) (L) (O) (D),(M) Online

Sahay et al. (2017) (D) - (M) Online

Simpson et al. (2018) (D) (O) (D),(M) Online Hong et al. (2018) (L) (O) (D),(M) Online Phan & Park (2019) (L) (A) (D),(M) Online Bawany & Shamsi (2019) (L) (O) (D),(M) Offline

Esta tese (D) (A) (D),(M) Online

Escopo: (L)ocal, (D)istribuído. Atuação: (D)detecção, (M)itigação.

Téc. Detecção: (A)prendizagem de máquina, (O)utra.

Diante da revisão da literatura apresentada, observa-se que os pesquisadores têm bus- cado utilizar métricas e conjuntos de dados atualizados e que incorporem novos vetores de ataques, com o intuito de aproximar a experimentação em laboratório do ambiente de operação real das redes de computadores, em sintonia com as novas tecnologias. Além disso, é possível perceber também o interesse em propor soluções sobre vários aspectos do problema, tais como arquitetura do sistema, técnicas de processamento dos pacotes, técnicas precisas de detecção precoce e estratégias de implantação. Além disso, busca-se aliar os estudos científicos e tecnológicos à realidade operacional e financeira dos ISPs.

Com relação à proteção contra os ataques DDoS, enumera-se os principais problemas constatados na literatura:

1. A detecção precoce e precisa dos ataques de negação de serviços em sintonia com os padrões industriais. Diversas métodos de detecção estão presentes na literatura para várias tipos de ataques e paradigmas específicos de redes. Entretanto, o desafio de desenvolver soluções capazes de realizar a detecção precoce e mitigação rápida dos ataques DDoS, tanto de alto como de baixo volume, em sintonia com os ambientes operacionais dos ISPs, ainda está em aberto;

2. O tratamento de grande volume de dados. Muitas das propostas presentes na lite- ratura sofrem com restrições de recursos computacionais para tratar o grande vo- lume de dados decorrentes dos ataques DDoS. Em provedores comerciais, como CloudFire e Akamai, este problema é tratado com incremento sistemático de infra- estrutura tecnológica e gera elevados custos financeiros. A utilização de técnicas de amostragem de tráfego na fase de detecção dos ataques, sem comprometimento significativo nas taxas de detecção e alarmes falsos, representa uma contribuição relevante para a solução desse problema;

16 CAPÍTULO 2. ESTADO DA ARTE

3. Violação da privacidade dos dados durante o tratamento do tráfego. As aborda- gens que adotam inspeção profunda dos pacotes, redirecionamento de tráfego ou intermediações de conexões enfrentam problemas relacionados à privacidade com determinados tipos de clientes, como governos, por exemplo. Neste sentido, so- luções que processem aleatoriamente apenas uma parte do tráfego, sem analisar o conteúdo dos pacotes, nem intermediar conexões, contempla bem esse tipo de problema;

4. A mitigação dos ataques DDoS o mais próximo possível de sua origem. Algumas abordagens da literatura defendem que a mitigação seja realizada na rede da vítima do ataque. Entretanto, essas soluções, até o momento, mostram-se ineficazes. En- tretanto, a detecção do ataque no lado da vítima tem se mostrado bastante eficiente na maioria dos estudos. Desse modo, o desenvolvimento de um sistema híbrido que combine a detecção dos ataques do lado da vítima com a mitigação tanto local como distribuída aumenta significativamente a eficácia do controle de tráfego malicioso dos ataques DDoS;

5. A inter-operação entre redes convencionais e redes SDN ainda é pouco explorada nos estudos existentes. As abordagens presentes na literatura exploram o problema em cenários específicos. Entretanto, o processo de migração tecnológica na infra- estrutura dos ISPs ocorre de forma gradativa. Assim, abordagens de combate ao DDoS que permitam uma operação simultânea nos dois paradigmas são relevantes tanto para tratar o problema do DDoS como para a migração de plataforma tecno- lógica.

Nesse contexto, o sistema proposto neste trabalho mostrou-se capaz de detectar preco- cemente ataques de alto e baixo volume. Além disso, a utilização de mecanismos padrão da Internet para amostrar o tráfego de rede reduz a sobrecarga computacional no me- canismo de detecção e garante a privacidade dos dados. Por outro lado, o mecanismo distribuído do Smart Defender permite isolar rapidamente as ameaças próximo à origem, reduzindo o impacto dos ataques em todo o caminho, mantendo a compatibilidade com as redes atuais.

Capítulo 3

Ataques de Negação de Serviços

A Internet foi originalmente projetada para atender aos requisitos básicos de transfe- rência de dados entre sistemas com um foco muito pequeno nas preocupações relaciona- das à segurança. Por essa razão, a rede mundial de computadores permanece vulnerável a uma variedade de ataques, diretos ou indiretos, ameaçando os provedores de serviços e seus usuários. Uma dessas ameaças é o ataque de negação de serviço (DoS), e sua vari- ante distribuída (DDoS). Neste Capítulo, são apresentados os principais conceitos sobre ataques de DDoS em serviços de redes de computadores, as abordagens mais comuns de ataques, tanto de alto como de baixo volume, e também são discutidos os desafios cien- tíficos para detectar e mitigar esse tipo de ameaça digital no cenário atual. Além disso, são listados os datasets utilizados neste trabalho, assinalando como cada um deles foi aproveitado.

3.1

Ataques Distribuídos de Negação de Serviços

Ataques distribuídos de negação de serviços (DDoS) são tentativas planejadas para impedir que usuários legítimos acessem recursos de rede específicos, tais como servidores de aplicação e bancos de dados. Os primeiros registros desses eventos remontam os anos de 1980, especialmente após a divulgação pelo Computer Incident Advisory Capability (CIAC) do primeiro ataque DoS distribuído registrado, como cita Criscuolo (2000). Deste então, de acordo com Zargar et al. (2013), a maioria dos ataques DoS na Internet são de natureza distribuída. Para Kumar et al. (2007), os motivos por trás desses tipos de ataques geralmente estão ligados a competições de negócios, ganhos financeiros e hactivismo.

O ataque DoS distribuído (DDoS) começa com um invasor inicialmente formando uma rede de sistemas comprometidos, conhecida como botnet. Essa rede é controlada pelo atacante, o qual se mantém sob várias camadas de bots, conhecidas como trampo- lins, com a intenção de ocultar sua identificação. O invasor inicia o processo de ataque

18 CAPÍTULO 3. ATAQUES DE NEGAÇÃO DE SERVIÇOS

disseminando comandos para esses sistemas comprometidos. Após receber os coman- dos, esses sistemas iniciam o fluxo de ataque real em direção à vítima, na tentativa de sobrecarregar sua largura de banda ou outros recursos. Durante um ataque, os serviços das vítimas ficam indisponíveis até que o ataque seja encerrado ou efetivamente mitigado. Esses ataques podem durar alguns segundos ou até dias, levando a enormes perdas finan- ceiras para os provedores de serviços, como aponta Singh et al. (2017). A Figura 3.1 ilustra a arquitetura comumente utilizada em ataques DDoS.

Atacante

Controladores

Botnet

Tráfego de controle

Tráfego de ataque

1

2

3

Vítima

Figura 3.1: Arquitetura de ataque distribuído de negação de serviço (DDoS) na Internet.

De acordo com Cao et al. (2018), os ataques de DDoS volumétrico são considerados uma das ameaças mais perigosas presentes na Internet. Nesse tipo de ataque, vários ata- cantes coordenam o envio de uma alta taxa de dados inúteis na tentativa de sobrecarregar os recursos de computação da vítima ou os links de rede próximos a ela. Por um lado, as altas taxas de sucesso desse tipo de ataque ocorrem porque os principais roteadores