Poikkeavuuksien havainnointi (palvelinlokeista)

Transkriptio

1 Poikkeavuuksien havainnointi (palvelinlokeista) TIES326 Tietoturva Antti Juvonen

2 Sisältö IDS-järjestelmistä Datan kerääminen ja esiprosessointi Analysointi Esimerkki Lokidatan rakenne Esikäsittely, piirteiden löytäminen Datan analysointi ja visualisointi

3 Intrusion Detection System (IDS) = Tunkeilijan havaitsemisjärjestelmä Aikoinaan ylläpitäjien manuaalista työtä Havaitsee hyökkäysyrityksiä tietoverkossa Voi olla koneessa tai verkossa Esim. SNORT Sääntöpohjainen vs. Poikkeavuuksien etsintä

4 IDS-järjestelmien jaottelu

5 Sääntöpohjaiset järjestelmät = Misuse detection taas: SNORT Järjestelmän toimintaa verrataan olemassaoleviin sääntöihin Säännöt ovat käytännössä lista tunnetuista hyökkäyksistä Toimii tarkasti, vähän vääriä hälytyksiä, helppo toteuttaa Ei havaitse uusia tuntemattomia hyökkäyksiä

6 = Anomaly detection Poikkeavuuksien havaitsemisjärjestelmät - Idea esitelty 1980-luvulla - Mallinnetaan normaalia liikennettä - Verrataan verkon liikennettä luotuun malliin - Havaitaan poikkeavuudet - Pystytään (periaatteessa) havaitsemaan uudet haavoittuvuudet - Ei vaadi manuaalista sääntöjen päivittämistä - Saattaa antaa enemmän vääriä hälytyksiä - Hälytysten tyyppiä ei tiedetä heti

7 Intrusion Prevention System (IPS) - Melkein kuin IDS - Lisäksi sisältää jotain aktiivista toimintaa > Esim. tietyn yhteyden katkominen tai pakettien pudottaminen > CRC-virheiden korjaaminen - Toiminnan tarkoituksena estää hyökkäys tai pienentää aiheutuvaa vahinkoa - Väärin toimiessaan aiheuttaa itse haittaa verkon toiminnalle

8 Hybridijärjestelmät Yhdistetty sääntöpohjaisuus ja poikkeavuuksien havaitseminen Esim. havaituista poikkeavuuksista tehdään SNORTsäännöt

9 Vaiheet 1. Datan kerääminen 2. Esiprosessointi 3. Analysointi 4. Tulosten tulkitseminen 5. Toimenpiteet

10 Vaiheet 1. Datan kerääminen 2. Esiprosessointi 3. Analysointi 4. Tulosten tulkitseminen 5. Toimenpiteet

11 Esiprosessointi Datan muuntaminen numeeriseen muotoon Skaalaus Turhien lokirivien poistaminen...

12 Lyhyesti 1. Datan kerääminen 2. Esiprosessointi 3. Analysointi 4. Tulosten tulkitseminen 5. Toimenpiteet

13 Datan analysointi Ulottuvuuksien vähentäminen Klusterointi Poikkeavuuksien löytäminen Luokittelu...

14 Datan analysointi (2) Voidaan käyttää esim: Neuroverkot Tukivektorikoneet Itseorganisoituva kartta (SOM) Pääkomponenttianalyysi Monia muita algoritmeja tarpeen mukaan Käytännössä tiedonlouhintaa

15 Lyhyesti 1. Datan kerääminen 2. Esiprosessointi 3. Analysointi 4. Tulosten tulkitseminen 5. Toimenpiteet

16 Tulosten tulkitseminen ja toimenpiteet Datamatriisin yhdistäminen alkuperäiseen verkkoliikenteeseen Ovatko poikkeamat oikeasti poikkeavia? Kuka ne on aiheuttanut? Onko haavoittuvuus? Mitä toimenpiteitä? Esim. haavoittuvuuden paikkaaminen.

17 Analysoinnin vaiheet 1 Palvelinloki Poikkeavat rivit Noudetaan alkuperäisestä lokitiedostosta 5 Poikkeavat rivit Turhien staattisten rivien poistaminen, lokien muuntaminen numeeriseen muotoon 2 3 Esiprosessointi Luokittelualgoritmi jakaa datan normaaliin ja poikkeavaan 4 6 Analysointi UI Datamatriisi 1,0,0,1,0,0 0,0,0,1,0,0 0,2,3,0,0,0

18 Palvelinlokirivi [11/Jan/2011:15:53: ] "GET /scripts/resurssi?par1=value1&par=value2 HTTP/1.1" " "Mozilla/5.0 (SymbianOS/9.2;...)"

19 N-grammianalyysi 'anomalia', 'analyysi' 2-grammit: 'an','no','om','ma','al','li','ia' 'an','na','al','ly','yy','ys','si' an no om ma al li ia na ly yy ys si

20 Analysoinnin vaiheet 1 Palvelinloki Poikkeavat rivit Noudetaan alkuperäisestä lokitiedostosta 5 Poikkeavat rivit Turhien staattisten rivien poistaminen, lokien muuntaminen numeeriseen muotoon 2 3 Esiprosessointi Luokittelualgoritmi jakaa datan normaaliin ja poikkeavaan 4 6 Analysointi UI Datamatriisi 1,0,0,1,0,0 0,0,0,1,0,0 0,2,3,0,0,0

21 Analysointi

22 Analysoinnin vaiheet 1 Palvelinloki Poikkeavat rivit Noudetaan alkuperäisestä lokitiedostosta 5 Poikkeavat rivit Turhien staattisten rivien poistaminen, lokien muuntaminen numeeriseen muotoon 2 3 Esiprosessointi Luokittelualgoritmi jakaa datan normaaliin ja poikkeavaan 4 6 Analysointi UI Datamatriisi 1,0,0,1,0,0 0,0,0,1,0,0 0,2,3,0,0,0