Uma abordagem leve para detecção de DDoS a partir de roteadores domésticos

Abstract

Ataques DDoS são uma grande ameaça. Para mitigar seu impacto, sua detecção deve, preferencialmente, ocorrer na borda da rede, próximo à origem do ataque. Para tal, o uso de roteadores domésticos é uma opção. Entretanto, esses dispositivos são tipicamente limitados, tornando inadequadas as abordagens baseadas, por exemplo, em DPI. Propomos uma abordagem extremamente leve para detecção de DDoS usando roteadores domésticos que emprega exclusivamente contadores de bytes de interfaces de rede. Para detectar ataques com informações tão limitadas, usamos modelos de Machine Learning treinados com dados de centenas de usuários domésticos, obtidos através de parceria com um ISP, juntamente com ataques gerados em ambiente controlado usando as botnets Mirai e BASHLITE. Nossos classificadores são capazes de detectar diferentes vetores de ataque com F1 scores tipicamente superiores a 0,99.

Detecção de ataques DDoS usando correlação espaço-temporal bayesiana

“…Várias soluc ¸ões para detecc ¸ão de ataques DDoS nos roteadores domésticos foram propostas anteriormente [Meidan et al 2018, Doshi et al 2018, Wan et al 2020, Anthi et al 2019, McDermott et al 2018, Salman et al 2019]. Todavia, com excec ¸ão da nossa abordagem em [Mendonc ¸a et al 2019a, Mendonc ¸a et al 2019b], as soluc ¸ões propostas dependem de informac ¸ões sensíveis extraídas do cabec ¸alho de pacotes de rede.…”

“…Além disso, os resultados relatados vêm de testbeds de IoT com um número restrito de dispositivos. Nosso trabalho em [Mendonc ¸a et al 2019b, Mendonc ¸a et al 2019a] é uma excec ¸ão, já que não usa informac ¸ões extraídas de pacotes.…”

“…Neste artigo, estendemos nossos trabalhos anteriores [Mendonc ¸a et al 2019a, Mendonc ¸a et al 2019b] aprimorando a ideia de aproveitar nos modelos o sincronismo dos ataques DDoS para desenvolver mecanismos de detecc ¸ão mais robustos. Assim como em [Mendonc ¸a et al 2019a], utilizamos um sistema de duas camadas para a detecc ¸ão: a primeira camada (detector local) roda no nível do usuário doméstico; a segunda (correlac ¸ão espac ¸o-temporal) é executada no nível do provedor de servic ¸o (ISP).…”