Mengintegrasikan Signature Apriori Deteksi Jaringan Intrusion berbasisSystem (NIDS) dalam Cloud Computing

abstrakSalah satu masalah keamanan utama dalam Cloud computing adalah untuk mendeteksi aktivitas berbahaya pada lapisan jaringan. Dalam tulisan ini, kami mengusulkan jaringan kerangka mengintegrasikan sistem deteksi intrusi (NIDS) di awan. NIDS modul kami terdiri dari Snort dan tanda tangan apriori algoritma. Ini menghasilkan aturan baru dari paket yang diambil. Aturan-aturan baru ditambahkan dalam file konfigurasi Snort untuk meningkatkan efisiensi Snort. Hal ini bertujuan untuk mendeteksi serangan dikenal dan turunan dari serangan dikenal di Cloud oleh jaringan monitoring lalu lintas, sambil memastikan tingkat positif palsu rendah dengan biaya komputasi yang wajar. Kami juga merekomendasikan posisi NIDS di Cloud. Kami menyajikan setup eksperimental dan mendiskusikan tujuan desain yang diharapkan dari kerangka yang diusulkan.

1.pengantarCloud computing adalah model komputasi yang inovatif menyediakan sumber daya dan aplikasi sebagai layanan atas Internet untuk memuaskan kebutuhan komputasi pengguna. Ini memberikan Software sebagai Service Platform (SaaS), sebagai Layanan (PaaS) dan infrastruktur sebagai Layanan (IaaS) (Mell & Grance 2011). Eksploitasi kerentanan yang adadi Cloud mempengaruhi kerahasiaan, ketersediaan dan integritas sumber daya awan dan layanan yang ditawarkan. IDC survei menyimpulkan bahwa keamanan layanan Cloud adalah tantangan terbesar (Gens 2008). Salah satu masalah keamanan utama dalam komputasi awan adalah untuk melindungi terhadap serangan jaringan. Serangan mungkin pada lapisan jaringan yang spoofing IP, DNS keracunan, man-in-the-middle Cloud serangan, port scanning dll Untuk mencegah layanan Cloud dari gangguan tersebut, besar penyedia (seperti Amazon, Windows Azure, Rack Space, Eucalyptus, Nebula Buka dll) mengintegrasikan firewall (Cloud Komputasi Perbandingan Panduan N.d.). Seperti yang ditunjukkan pada Gambar. 1 (Lauzon Nd), firewall melindungi jalur akses depan sistem dan diperlakukan sebagai garis pertahanan pertama. Oleh karena itu, serangan insider tidak dapat dideteksi dalam Cloud. beberapa DoS atau serangan DDoS juga terlalu rumit untuk mendeteksi menggunakan firewall tradisional. Misalnya, jika ada serangan pada port

80 firewall tidak dapat membedakan lalu lintas normal dari lalu lintas serangan (S. Beg & Mohsin 2010). Oleh karena itu, gunakan hanya firewall tradisional untuk memblokir semua gangguan bukan merupakan solusi yang efisien.

Solusi lain adalah untuk mengintegrasikan sistem deteksi intrusi jaringan berbasis (NIDS) di awan. Efisiensi NIDS tergantung pada parameter seperti teknik deteksi (signature based atau berbasis anomali), positioning dalam jaringan (misalnya front end atau back end) dan konfigurasi (misalnya tersentralisasi atau terdistribusi) dll

1.1. kontribusi kami Dalam tulisan ini, kami mengusulkan kerangka kerja yang mengintegrasikan NIDS di Cloud (IaaS menawarkan). Kami juga merekomendasikan berbeda posisi modul NIDS kami di Cloud. Tujuan utama kami adalah untuk mengurangi dampak serangan jaringan (serangan dikenal serta turunan dari serangan dikenal), sambil memastikan tingkat deteksi yang lebih tinggi dan lebih rendah tingkat positif palsu denganterjangkau komputasi biaya. Sisa dari makalah ini diorganisasikan sebagai berikut: Bagian 2 menyajikan latar belakang teoritis dan spesifik Cloud yang ada pendekatan, sedangkan kerangka yang diusulkan dibahas dalam bagian 3. bagian

2. Teoritis Latar Belakang dan Kerja Terkait2.1. pernyataan masalahTujuan utamanya adalah untuk merancang dan mengintegrasikan modul NIDS efisien yang dapat mendeteksi intrusi pada tradisionalserta jaringan virtual di awan, sementara mengurangi tanda positif palsu dengan biaya komputasi yang terjangkau.

2.2. NIDS di awan: pendekatan yang adaNIDS tradisional menggunakan teknik deteksi berbasis signature dan anomali.

2.2.1. Tanda tangan berbasis deteksiIni mendefinisikan seperangkat aturan (atau tanda tangan) yang digunakan untuk memutuskan bahwa suatu pola yang diberikan adalah bahwa penyusup. tanda tangan berbasis sistem mampu mencapai tingkat akurasi yang tinggi dan jumlah minimal positif palsu dalam mengidentifikasi gangguan. Namun, sedikit variasi dalam serangan dikenal mempengaruhi analisis (DJ Brown & Wang 2002). tanda tangan berbasis deteksi gagal untuk mendeteksi serangan yang tidak dikenal atau varian dari serangan dikenal. D. Stiawan et al. (D. Stiawan & Idris 2010) Disajikan isu mengenai sistem berbasis signature. Dalam Cloud, teknik deteksi berbasis signature dapat digunakan untuk mendeteksi intrusi eksternal di ujung depan atau untuk mendeteksi intrusi eksternal / internal di bagian belakang. seperti tradisional jaringan, gagal untuk mendeteksi serangan yang tidak diketahui.

2.2.2. Deteksi anomaliIni melibatkan pengumpulan data yang berhubungan dengan perilaku penggunaan yang sah selama periode, dan kemudian berlaku statistik tes untuk perilaku yang diamati, yang menentukan apakah perilaku yang sah atau tidak. Ini memiliki keuntungan mendeteksi serangan yang tidak dikenal. T. Dutkevych et al. (T. Dutkevyach & Tymoshyk 2007) disediakan berdasarkan anomali solusi, yang menganalisis serangan berbasis protokol dan lalu lintas multidimensi. H. Zhengbing et al. (H. Zhengbing & Shirochin 2007) mempresentasikan sistem deteksi intrusi ringan untuk mendeteksi intrusi secara efisien secara real time. Anomali teknik deteksi dapat digunakan untuk Cloud untuk mendeteksi serangan yang tidak diketahui pada lapisan yang berbeda. Namun, besar angka kejadian tingkat jaringan membuat sulit untuk memantau atau mengontrol gangguan menggunakan teknik deteksi anomali di Cloud.

2.3. Penting karakteristik

NIDS harus memiliki karakteristik berikut untuk mengintegrasikan dalam awan.

2.3.1. Deteksi serangan jaringan di setiap lapisan NIDS harus mampu mendeteksi gangguan pada setiap komponen seperti front end, back end atau mesin virtual (VM). Ini harus dapat mendeteksi serangan dikenal serta serangan tidak diketahui.

2.3.2. Rendah komputasi biaya dan lebih cepat tingkat deteksi

Dalam Cloud, tingginya jumlah pengguna yang terlibat. Jadi, tingginya jumlah permintaan dapat berubah menjadi tingkat lalu lintas tinggi di Cloud.Oleh karena itu, NIDS harus memiliki deteksi lebih cepat dengan biaya lebih rendah.

2.3.3. Rendah positif palsuHal ini dapat didefinisikan sebagai jumlah peringatan palsu yang dihasilkan oleh NIDS. Ini harus rendah untuk NIDS terpadu diCloud. Telah diidentifikasi dalam (H. Zhengbing & Jumgi 2008) bahwa dalam beberapa situasi tertentu, peringatan positif palsudapat dihasilkan. Misalnya, peringatan dihasilkan dalam menanggapi banjir ICMP, padahal, ada beberapa tujuanpaket terjangkau. Beberapa paket tak dikenal yang dihasilkan oleh alat tertentu disiagakan sebagai serangan. Protokol pelanggaranmenyebabkan peringatan palsu.

2.3.4. Rendah palsu negatifNegatif palsu dapat didefinisikan sebagai ketidakmampuan NIDS untuk mendeteksi intrusi yang benar. Ada sejumlah alasanuntuk menyebabkan negatif palsu (H. Zhengbing & Jumgi 2008). Jika lalu lintas melebihi karena kemampuan switch, tidaksemua paket jaringan melewati saklar tersebut dapat dipantau. Kita perlu menjaga negatif palsu sangat rendahCloud. Jika tidak, itu menghasilkan konsumsi lebih banyak sumber daya di awan.

2.4. Terkait kerjaSeperti yang ditunjukkan pada Gambar. 2 (S. Roschke & Meinel 2009), mesin virtual (VM) kompatibel IDS arsitektur terdiri dari terutama dua komponen: IDS manajemen unit dan sensor IDS. Unit manajemen IDS terdiri dari pengumpul acara, acara database, analisis komponen dan remote kontrol. Pengumpul acara mengumpulkan perilaku berbahaya diidentifikasi olehIDS sensor dan toko di database event. Database acara menyimpan informasi mengenai peristiwa ditangkap. Analisa Komponen mengakses database event dan menganalisa peristiwa sesuai konfigurasi. IDS-VMs dikelola oleh IDS Remote Controller yang dapat berkomunikasi dengan IDS-VMs dan sensor IDS. IDS sensor pada VM, mendeteksi dan melaporkan perilaku berbahaya dan mengirimkan event dipicu untuk pengumpul acara. Pendekatan ini digunakan untuk mencegah VMs dari yang dikompromikan. Namun, pendekatan ini memerlukan beberapa contoh dari IDS. A. Bakshi et al. di (Bakshi & Yogesh 2010) mengusulkan pendekatan untuk mendeteksi serangan DDoS di VM. Dalam pendekatan ini, Snort diinstal di tombol virtual untuk log lalu lintas jaringan ke dalam database. Untuk mendeteksi serangan, paket logindianalisis dengan Snort secara real time. IDS menentukan sifat serangan itu dan pemberitahukan server virtual. Kemudian server virtual tetes paket yang datang dari alamat IP

tertentu. Jika jenis serangan DDoS adalah, semua mesin zombie diblokir. Server virtual kemudian transfer aplikasi yang ditargetkan ke mesin lain yang diselenggarakan oleh data terpisah

pusat dan update tabel routing segera. Firewall ditempatkan pada server baru, blok semua paket yang datang dari diidentifikasi alamat IP. C. Mazzariello et al. (C.Mazzariello & Canonoco 2010) mempresentasikan pendekatan untuk mendeteksi intrusi di eukaliptus Cloud. Dalam pendekatan ini, Snort ditempatkan pada kontroler awan (CC) serta pada mesin fisik (hosting VMs) untuk mendeteksi intrusi pada jaringan eksternal. Ini adalah solusi yang efektif cepat dan biaya. Namun, tidak dapat mendeteksi diketahui serangan. Dalam pendekatan kooperatif berbasis agen (CC Lo & Ku 2008), individu NIDS modul ditempatkan di setiap Cloud daerah. Dalam kasus deteksi intrusi, tetes paket penyerang, kemudian mengirimkan pesan peringatan ke wilayah lainnya. waspadaModul pengelompokan mengumpulkan tanda yang dihasilkan oleh daerah lain. Apakah peringatan ini benar atau salah, ditentukan setelah menghitung tingkat keparahan tanda dikumpulkan. Pendekatan ini cocok untuk mencegah Cloud dari satu titik kerusakan yang disebabkan oleh serangan DDoS. Namun, upaya komputasi sangat tinggi. A.V. Dastjerdi et al. (Dastjerdi, Bakar & Thabathaba'i 2009) mengusulkan metode yang efektif scalable, fleksibel dan biaya untuk mendeteksi intrusi untuk aplikasi Cloud terlepas dari lokasi mereka menggunakan mobile agent (MA). Seperti yang ditunjukkan pada Gambar. 3, VMs melekat pada MA yang mengumpulkan bukti-bukti dari sebuah serangan dari semua VMs menyerang untuk analisis lebih lanjut dan audit.

3. Usulan Kerangka: Tanda tangan Apriori NIDS berbasis Cloud3.1. desain tujuan• Deteksi turunan dari serangan dikenal• biaya komputasi rendah dan tingkat deteksi yang lebih cepat• positif palsu Rendah

Beberapa tanda tangan serangan terbentuk dari serangan dikenal dan dapat ditemukan dalam payload dari paket yang diambil. untuk Misalnya, Code Red I dan Code Red II dikenal "worm", yang menyebarkan diri melalui jaringan. Signatures dalam payload untuk kedua serangan adalah: Konten: "| 2F6465661756C742E6964613F4E4E4E |" (Code Red I). Konten: "| 2F6465661756C742E6964613F585858 |" (Code Red II). Dalam kedua tanda tangan, string umum adalah "2F646566 1756C74 2E696461", yang menunjukkan bahwa Kode Merah I dan KodeRed II berasal bentuk "2F646566 1756C74 2E696461". NIDS Usulan memproduksi dan update tanda tangan tersebut di Snort.

3.2. Membangun kerangka solusi

Seperti yang ditunjukkan pada Gambar. 4, Cloud dapat dilihat dengan dua ujung yaitu, Front end dan Kembali end (Server Processing). awan pengguna dapat berkomunikasi dengan Cloud melalui front end. Front end terhubung ke jaringan eksternal baik serta jaringan internal. Server Pengolahan terdiri dari perangkat keras komputer dan perangkat lunak yang dirancang untuk pengirimanlayanan. Ini proses permintaan pengguna dan mengeksekusinya untuk memungkinkan untuk mengakses contoh VM. Jaringan internal (virtual jaringan) dirancang untuk interkonektivitas contoh VM. Misalnya, dalam Cloud eucalyptus Amazon, setiap instance VM memiliki dua IP network bernama IP publik dan IP pribadi (D. Nurmi & Zagorodnov 2008). VMs dapat berkomunikasi secara langsung menggunakan jaringan pribadi.

Gambar. 4.

Mungkin ada posisi yang berbeda dari NIDS di Cloud seperti ditunjukkan pada Gambar. 4: Posisi NIDS modul di bagian depan akhir Cloud membantu untuk mendeteksi gangguan jaringan pada jaringan eksternal dari Cloud. Namun, tidak dapat mendeteksi internal yang intrusi. Positioning NIDS modul pada serverr pengolahan membantu untuk mendeteksi internal maupun eksternal intrusi. Sejumlah besar paket melewati server yang mempengaruhi efisiensi NIDS terintegrasi. integrasi NIDS pada setiap VM membantu pengguna untuk mendeteksi gangguan pada / nya VM nya. Konfigurasi tersebut membutuhkan beberapa contoh dari NIDS, yang membuat manajemen yang kompleks karena VMs secara dinamis bermigrasi, ditetapkan atau de-ditetapkan.

3.3. Desain modul NIDS dan kerjanya

Seperti yang ditunjukkan pada Gambar. 5, kami menggabungkan Snort (Snort-Home page Nd) dan tanda tangan algoritma apriori (H. Zhengbing & Jumgi 2008) dalam modul NIDS kami. Jaringan mungkin jaringan eksternal atau jaringan internal. Kami menggunakan Snort untuk mendeteksi gangguan jaringan, sedangkan tanda tangan apriori algoritma yang digunakan untuk menghasilkan tanda tangan yang mungkin baru dari sebagian diketahui tanda tangan. The Snort dan tanda tangan algoritma apriori dipilih karena karakteristik berikut mereka

3.3.1. mendengus

Ini menggunakan teknik deteksi berbasis signature. Snort dapat dikonfigurasi, bebas, banyak digunakan, dapat berjalan pada berbagai platform (yaitu GNU / Linux, Windows) dan terus diperbarui. Ia menangkap jaringan data paket dan memeriksa konten mereka denganyang standar pola untuk korelasi. Mesin deteksi Snort memungkinkan mendaftar, mengingatkan dan menanggapi setiap serangan dikenal. Dalam mode inline Snort, fungsi Snort diperpanjang untuk kemampuan pertahanan aktif.

3.3.2. tanda tangan Apriori

Dibutuhkan untuk menangkap paket dan tanda tangan sebagian dikenal sebagai masukan. Sebagai output, menghasilkan tanda tangan serangan baru. Ini tanda tangan baru digunakan dalam Snort untuk mendeteksi turunan dari serangan dikenal. Pada tanda tangan, desain yang diusulkanapriori dikombinasikan dengan Snort untuk deteksi akurat dan efisien. Metode yang diusulkan memiliki waktu pelatihan kurang dibandingkan dengan teknik klasifikasi lainnya yang diberikan

dalam (Han & Kamber 2006). Workflow modul NIDS kami ditunjukkan pada Gambar. 6. Paket jaringan yang diambil dari jaringan (eksternal atau internal) menggunakan Snort. Snort akan memantau mereka paket jaringan dan memungkinkan / menolak mereka berdasarkan pada aturan dikonfigurasi. Juga, ditangkap paket, tanda tangan serangan parsial dikenal (disimpan dalam database signature yang diketahui) dan ambang dukungan diberikan sebagai masukan kepada algoritma tanda tangan apriori. Update administrator keamanan dikenal database signature. menggunakan diberi masukan, tanda tangan apriori menghasilkan tanda tangan yang mungkin baru dan update mereka sebagai aturan dalam Snort. Jadi, turunan serangan dapat dideteksi oleh Snort. Sedemikian rupa, desain kami dapat digunakan untuk mendeteksi serangan dikenal serta derivatifserangan. Kami membahas contoh menunjukkan generasi tanda tangan dalam desain kami sebagai berikut

Pada Tabel 1, dataset dari paket yang diambil (dengan ID paket dan isinya) diberikan. Misalkan 0,7 sebagai minimum dukungan dan "KPB" sebagai tanda tangan serangan parsial diketahui ditentukan oleh administrator keamanan.

Tabel 1. Contoh dataset konten jaringan paket.

PAKET ID PAYLOAD ISI1 M A B C E F G P Q2 M N A B C D E F G

3 A B C D E F G Q

4 J A B C D E F G

5 N A B C D E F G Q

6 P Q I

Tanda tangan apriori pertama kali menemukan frequent-1 itemset dengan menghitung jumlah dukungan untuk setiap item. Di sini, calon itemset adalah sebagai berikut: A, B, C, D, E, F, G, Q, M, N, P, J, I. Setelah iterasi pertama, tanda tangan apriori menemukan frequent-1 itemset

minimum memuaskan ambang: A: 5/6 = 0,83, B: 0,83, C: 0,83, D: 0,83, E: 0,83, F: 0.83, G: 0.83. Sekarang, algoritma bergabung sering-1 item ke sisi kanan tanda tangan dikenal dan menghasilkan kandidat set: CDEA, CDEB, CDEC, CDED, CDEE, CDEF, KPB G. Dari kandidat set, ia menemukan itemsets sering: CDEF: 0.83. Sekali lagi bergabung sering-1 itemset untuk satu set calon menghasilkan dan menemukan itemsets sering dan berlanjut sampai dukungan minimal memuaskan. Akhirnya, itu menghasilkan CDEF G. Sekarang, algoritma bergabung sering-1 itemset ke sisi kiri terakhir yang diproduksi tanda tangan dan menghasilkan itemset kandidat untuk menemukan frequent itemset. Akhirnya, menghasilkan A B C D E F G. Generated itemsets sering di setiap iterasi diambil sebagai tanda tangan serangan. Jadi, tanda tangan serangan yang mungkin adalah: C D E F, C D EFG, ABCDEF G. Namun, seperti yang ditunjukkan dalam (H. Zhengbing & Jumgi 2008), tanda tangan lagi memberikan akurasi yang lebih daripada string pendek untuk deteksi. Jadi, "ABCDEFG" dapat digunakan sebagai tanda tangan derivatif baru, yang memberikan akurasi yang lebih baik.

4. Eksperimental Setup dan Analisis

4.1. eksperimental Setup

Kami telah menggunakan Eucalyptus (D. Nurmi & Zagorodnov 2008), (sebuah Cloud open source) diinstal pada Linux Ubuntu sistem operasi. Seperti yang ditunjukkan pada Gambar. 7, Cloud controller (CLC) dan cluster controller (CC) yang dipasang di bagian depan end, sedangkan simpul pengontrol (NC atau pengolahan server) diinstal pada ujung belakang. NIDS (Snort dan tanda tangan apriori (SA) algoritma) diinstal pada setiap NC. Untuk tujuan pengujian, kami mengizinkan semua jenis lalu lintas dengan membuka semua port di Eucalyptus. Scapy (scapy Nd) digunakan untuk menghasilkan paket kustom memiliki tanda tangan serangan dan mengirim mereka keujung depan. Wireshark (WS) (Wireshark Nd) dipasang di ujung depan dan belakang akhir Cloud digunakan untuk memantau lalu lintas yang melewati mereka. Kami telah menggunakan database MySql (DB) untuk login paket berbahaya terdeteksi.

Gambar. 7. Eksperimental setup kerangka yang diusulkan

4.2. teoritis analisis

4.2.1. Deteksi serangan dikenal serta turunan dari serangan dikenal pada setiap lapisan CloudDalam kerangka yang diusulkan, serangan diketahui terdeteksi oleh Snort, sedangkan tanda tangan serangan derivatif terbentuk dengan menggunakan tanda tangan apriori dan diperbarui sebagai aturan di Snort, yang membantu untuk mendeteksi turunan dari serangan dikenal.Derivatif serangan DoS juga dapat dideteksi, karena frekuensi tanda tangan dianggap pada waktu generasi. itu Cloud mengamankan komponen (seperti front end, server pengolahan, VMS dll) dari gangguan jaringan.

4.2.2. Tingkat peringatan palsu rendah positif

Snort memiliki tingkat rendah peringatan palsu positif dari serangan dikenal sejak signature berbasis teknik yang digunakan, di mana variasi serangan dikenal terdeteksi oleh aturan dikonfigurasi berdasarkan signature yang dihasilkan baru. Di sini, tanda tangan memiliki string yang lebih panjang dianggap sebagai tanda tangan serangan sejak kemungkinan string pendek dalam lalu lintas normal tinggi (H. Zhengbing & Jumgi 2008). Dengan demikian, kerangka yang diusulkan memiliki tingkat alarm palsu yang lebih rendah.

4.2.3. Rendah biaya komputasi

Memiliki lebih rendah biaya komputasi karena aturan sekali dihasilkan dengan menggunakan tanda tangan apriori, mereka tidak dihasilkan lagi. Ia menggunakan teknik berbasis signature yang memiliki biaya komputasi rendah. Selain itu, kerangka yang diusulkan tidak embutuhkan tingginya jumlah kasus NIDS, seperti dalam (S. Roschke & Meinel 2009).

5. kesimpulan

Adanya kerentanan dalam komputasi awan memungkinkan penyusup untuk mempengaruhi kerahasiaan, ketersediaan dan integritas sumber daya awan serta layanan. Deteksi DoS / DDoS serangan dan tingkat jaringan lainnya berbahaya Kegiatan kekhawatiran keamanan utama dalam Cloud. Untuk mengatasi masalah ini, integrasi firewall hanya di awan bukan merupakan solusi yang efisien. Diusulkan Solusi kami kerangka kerja (NIDS mengintegrasikan ke Cloud) dapat digunakan untuk mendeteksi serangan jaringan (serangan dikenal serta turunan dari serangan dikenal) di ujung depan serta bagian belakang Cloud lingkungan (i.e IaaS). Ini bertujuan untuk mencapai tingkat rendah alarm palsu positif dalam biaya komputasi yang wajar.