Rastreamento intra-dom´ınio de tr´afego utilizando OSPF
Andr´e O. Castelucio1, Ronaldo M. Salles2, Antˆonio Tadeu A. Gomes1, Artur Ziviani11Laborat´orio Nacional de Computac¸˜ao Cient´ıfica - LNCC Av. Get´ulio Vargas, 333 – 25651-075 – Petr´opolis – RJ
2Instituto Militar de Engenharia - IME
Prac¸a General Tib´urcio, 80 – 22290-270 – Rio de Janeiro – RJ {castelucio, atagomes, ziviani}@lncc.br, [email protected] Abstract. Denial of service attacks have been a serious threat to the
appropri-ate operation of services within network domains. In this paper, we propose a system that creates an overlay network to provide intra-domain IP traceback to deal with this threat. The main contribution of our proposal with respect to previous work is the partial and progressive deployment of the traceback system throughout the monitored network domain. To create the overlay network, we use the OSPF routing protocol through the creation of an Opaque LSA (Link State Advertisement), specially devised for this purpose. We also investigate and evaluate the performance of the partial and progressive deployment of the proposed system, showing its suitability for large network domains.
Resumo. Atualmente, ataques de negac¸˜ao de servic¸o s˜ao uma grande ameac¸a `a
operac¸˜ao adequada de servic¸os em dom´ınios de rede. Neste artigo, n´os propo-mos um sistema que cria uma rede sobreposta de rastreamento intra-dom´ınio de tr´afego IP para lidar com essa ameac¸a. A principal contribuic¸˜ao de nossa pro-posta em relac¸˜ao a trabalhos relacionados ´e a implantac¸˜ao parcial e gradual do sistema de rastreamento no dom´ınio de rede monitorado. Para a construc¸˜ao da rede sobreposta, utilizamos o protocolo de roteamento OSPF, por meio da criac¸˜ao de um Opaque LSA (Link State Advertisement) de uso exclusivo para esse fim. N´os tamb´em investigamos e avaliamos o desempenho da implantac¸˜ao parcial e gradual do sistema proposto, demonstrando sua viabilidade para dom´ınios de rede de grandes dimens˜oes.
1. Introduc¸˜ao
Atualmente, ataques de negac¸˜ao de servic¸o em sua vers˜ao simples (DoS) e dis-tribu´ıda (DDoS) s˜ao muito comuns na Internet [Hussain et al. 2003, Moore et al. 2006]. Esses ataques tˆem como grande objetivo tornar uma rede ou um servic¸o oferecido por ela inacess´ıvel a usu´arios leg´ıtimos. Isto tipicamente ocorre quando um atacante envia uma quantidade de pacotes muito maior do que a v´ıtima ´e capaz de processar; e nos ataques atuais ocorrem com m´ultiplos atacantes distribu´ıdos enviando pacotes simultaneamente para a mesma v´ıtima.
A identificac¸˜ao da origem dos ataques – DoS ou DDoS – ´e uma tarefa desafi-adora. Alguns motivos para isto s˜ao: (i) o roteamento dos pacotes nas redes ´e feito baseado apenas no enderec¸o de destino do pacote IP; (ii) os roteadores que participam do encaminhamento dos pacotes n˜ao armazenam nenhuma informac¸˜ao sobre esta tarefa
devido a restric¸˜oes de escalabilidade; (iii) computadores chamados “zumbis” s˜ao usados para participar de ataques e, neste caso, os donos destes computadores n˜ao sabem que est˜ao participando de um ataque; (iv) devido `a falta de autenticac¸˜ao no momento de seu encaminhamento, pacotes com enderec¸os IP forjados s˜ao utilizados em ataques (D)DoS; (v) quando a origem de um ataque ´e rastreada, n˜ao significa necessariamente que o ata-cante foi identificado, pois ele pode estar protegido por um firewall ou por enderec¸os privados e assim o rastreamento s´o poder´a ser realizado at´e a borda da rede de onde os pacotes s˜ao gerados.
Todos estes fatos permitem que o atacante tenha uma garantia virtual de anoni-mato. Nesse sentido, ´e clara a necessidade da criac¸˜ao de mecanismos para identificar, mesmo que parcialmente, a rota dos pacotes de ataque – os sistemas de rastreamento de tr´afego IP tˆem esta finalidade – e o desenvolvimento de ferramentas para bloquear os ataques em alguns pontos nesta rota.
Neste momento, ´e importante pontuar que a defesa contra ataques (D)DoS tipica-mente possui 3 fases: (i) a detecc¸˜ao de que um ataque est´a em curso, tarefa esta que ´e feita por sistemas de detecc¸˜ao e prevenc¸˜ao de intrus˜ao [NIST 2007]; (ii) a identificac¸˜ao da rota dos pacotes de ataque, isto ´e, o rastreamento dos atacantes; (iii) e o bloqueio dos pacotes de ataque [Ferguson e Senie 2002]. Ressaltamos que o sistema aqui descrito ´e focado na segunda fase, ou seja, na identificac¸˜ao da rota dos pacotes de ataque e, consequentemente, no rastreamento dos atacantes.
Em sua imensa maioria, os trabalhos na ´area de rastreamento de tr´afego (discu-tidos na Sec¸˜ao 2) possuem como requisito t´ıpico a necessidade do sistema proposto por cada um deles ser implantado em todos os roteadores do dom´ınio de rede monitorado. Esse requisito claramente limita muito a possibilidade desses sistemas serem amplamente utilizados em um dom´ınio de maiores dimens˜oes.
A nossa principal contribuic¸˜ao em relac¸˜ao aos trabalhos relacionados ´e a concepc¸˜ao de um sistema intra-dom´ınio para rastreamento de tr´afego IP que pode ser implantado parcial e gradualmente nas redes que comp˜oem um Sistema Autˆonomo.1
A grande motivac¸˜ao para o desenvolvimento desse sistema ´e que a decis˜ao da sua implantac¸˜ao dentro de um Sistema Autˆonomo ´e baseada em quest˜oes de desempenho e no investimento que deve ser feito pela entidade administradora, em func¸˜ao da di-mens˜ao do seu dom´ınio. Este dom´ınio pode ter centenas de roteadores onde apenas um n´umero limitado de administradores com um objetivo comum ´e respons´avel pela decis˜ao de implantac¸˜ao do sistema. A possibilidade de uma implantac¸˜ao do sistema de rastrea-mento atrav´es do dom´ınio de forma coerente e planejada – pois, ao contr´ario do caso de sistemas de rastreamento no n´ıvel de Sistemas Autˆonomos, n˜ao depende da cooperac¸˜ao de entidades administrativas distinas – permite o controle sobre o compromisso entre uma maior eficiˆencia do sistema e o custo de implantac¸˜ao distribu´ıda do mesmo. Esse com-promisso ´e avaliado atrav´es de simulac¸˜oes, demonstrando a viabilidade do sistema de rastreamento proposto para dom´ınios de rede de grandes dimens˜oes.
A implantac¸˜ao parcial e gradual do sistema de rastreamento intra-dom´ınio pro-posto se baseia na formac¸˜ao de uma rede sobreposta no n´ıvel de roteadores para marcac¸˜ao e rastreamento de pacotes. Para construir a rede sobreposta, ´e utilizado o protocolo de roteamento OSPF, por meio da criac¸˜ao de um Opaque LSA (Link State Advertise-ment) [Coltun 1998] – o IP Traceback Opaque LSA – de uso exclusivo para o sistema. A utilizac¸˜ao dessa rede sobreposta permite descobrir qual o pr´oximo salto no caminho reverso ao utilizado pelos pacotes de ataque para alcanc¸arem a v´ıtima. Sendo assim, o sistema proposto est´a apto a operar em larga escala, eliminando a necessidade de ser im-plantado consecutivamente em todos os roteadores do dom´ınio de rede. Al´em disso, o procedimento de marcac¸˜ao de pacotes pelos roteadores participantes da rede sobreposta permite que um ´unico pacote de ataque seja necess´ario para o rastreamento. Esta abor-dagem ´e baseada nos conhecimentos anteriores adquiridos na proposta an´aloga de um sistema inter-dom´ınio apresentada em [Castelucio et al. 2009].
O restante do artigo est´a organizado da seguinte forma. Na Sec¸˜ao 2, s˜ao discutidos os trabalhos relacionados. O sistema proposto ´e apresentado na Sec¸˜ao 3. Na Sec¸˜ao 4, o sistema ´e avaliado atrav´es de simulac¸˜oes. Finalmente, na Sec¸˜ao 5 s˜ao apresentadas as conclus˜oes e os trabalhos futuros.
2. Trabalhos relacionados
Podemos dividir os sistemas de rastreamento de tr´afego IP em duas classes de operac¸˜ao: os que trabalham no n´ıvel de Sistemas Autˆonomos (inter-dom´ınio) e os que operam no n´ıvel de roteadores (intra-dom´ınio). A diferenc¸a entre os dois tipos de sistemas est´a na sua localizac¸˜ao. No primeiro tipo, o sistema de rastreamento ´e implantado nos roteadores de borda dos Sistemas Autˆonomos, possibilitando um rastreamento de tr´afego inter-dom´ınio. Por outro lado, no segundo tipo, o rastreamento ocorre entre roteadores que comp˜oem um mesmo Sistema Autˆonomo, viabilizando um rastreamento de tr´afego intra-dom´ınio.
2.1. Sistemas de rastreamento intra-dom´ınio
Em [Savage et al. 2000], os autores prop˜oem um sistema baseado em marcac¸˜ao probabil´ıstica de pacotes. Essa marcac¸˜ao cont´em informac¸˜oes da rota atravessada pelo pacote e ´e feita no campo de fragmentac¸˜ao do pacote IP. Depois de uma grande quantidade de pacotes recebida pela v´ıtima, esta ´e capaz de reconstruir o caminho de ataque.
O sistema SPIE (Source Path Isolation Engine) [Snoeren et al. 2002] tem como caracter´ıstica principal o armazenamento do resumo dos pacotes em Filtros de Bloom [Bloom 1970] `a medida que estes s˜ao encaminhados pelos roteadores. Diferente-mente dos sistemas baseados em marcac¸˜ao probabil´ıstica de pacotes, atrav´es do uso de Filtros de Bloom este sistema pode rastrear um pacote IP individual. Um outro sistema baseado em Filtros de Bloom foi introduzido por [Laufer et al. 2005a]. Nesse sistema, quando um pacote atravessa um roteador, ´e inserida uma marca dentro de um Filtro de Bloom Generalizado (FBG) [Laufer et al. 2005b], presente no cabec¸alho do pacote IP. Essa marca ´e o resultado de uma func¸˜ao de hash do enderec¸o IP da interface de sa´ıda do roteador. Quando o pacote alcanc¸a o destino, ele carrega dentro do FBG a marca de todos os roteadores por onde passou. O rastreamento ´e iniciado a partir da v´ıtima, que checa o FBG `a procura da marca de um de seus roteadores vizinhos, enviando um pacote de
reconstruc¸˜ao de rota para ele. Este procedimento ´e repetido por todos os roteadores no caminho reverso do ataque at´e que o ´ultimo roteador com a marca no FBG seja desco-berto. De forma similar ao SPIE, este sistema pode rastrear um ´unico pacote.
2.2. Sistemas de rastreamento inter-dom´ınio
Em [Durresi et al. 2004], os autores prop˜oem um novo sistema de rastreamento usando a t´ecnica de marcac¸˜ao probabil´ıstica de pacotes. A informac¸˜ao ´e inserida nos pacotes pelos roteadores de borda dos Sistemas Autˆonomos usando o seu n´umero identi-ficador (ASN – Autonomous System Number) ao inv´es do enderec¸o IP do roteador. Uma desvantagem dos sistemas baseados em marcac¸˜ao probabil´ıstica de pacotes ´e que eles po-dem ser enganados por atacantes que inserem marcac¸˜oes falsas nos pacotes, criando fal-sos positivos. Para tratar este problema, os autores prop˜oem um esquema de autenticac¸˜ao utilizando criptografia de chave sim´etrica e deve ser usada por todos os roteadores parti-cipantes do sistema. Em [Korkmaz et al. 2007] ´e proposto o sistema AS-SPT (AS-level Single Packet Traceback), em um cen´ario de implantac¸˜ao parcial. Embora a arquitetura proposta permita implantac¸˜ao parcial, ela tem como necessidade o conhecimento pr´evio da topologia completa da rede para tal.
Em [Castelucio et al. 2009], propusemos um sistema de rastreamento de tr´afego que utiliza caracter´ısticas do protocolo BGP (Border Gateway Proto-col) [Rekhter e Li 1995] para criar uma rede sobreposta no n´ıvel de Sistemas Autˆonomos para rastreamento de tr´afego IP. Para essa proposta anterior, foi criado um novo Com-munity Attribute [Chandra et al. 1996] chamado IP Traceback ComCom-munity Attribute, que cont´em informac¸˜oes sobre a presenc¸a do sistema de rastreamento nos Sistemas Autˆonomos, indicando que estes est˜ao aptos a formar a rede sobreposta e realizar o rastre-amento do tr´afego. Baseado nos conhecimentos adquiridos nessa proposta anterior, houve a concepc¸˜ao do sistema de rastreamento IP intra-dom´ınio apresentado no presente artigo.
3. Rede sobreposta para rastreamento de tr´afego IP no n´ıvel de roteadores
Ao longo desta sec¸˜ao, apresentaremos a arquitetura do sistema proposto e os me-canismos atrav´es dos quais o sistema proposto: (i) utiliza o protocolo OSPF para suas finalidades; (ii) estabelece a rede sobreposta para rastreamento de tr´afego IP no n´ıvel de roteadores; (iii) efetua a marcac¸˜ao dos pacotes; e (iv) realiza o rastreamento de tr´afego.
3.1. Arquitetura do sistema
Todos os roteadores no Sistema Autˆonomo que sejam candidatos a participar do sistema de rastreamento proposto devem fazer parte de um mesmo dom´ınio OSPF. Um exemplo de dom´ınio ´e apresentado na Figura 1. Na figura, cada roteador com uma borda dupla ´e capaz de fazer a marcac¸˜ao de pacotes para o sistema de rastreamento proposto e, portanto, faz parte da rede sobreposta de rastreamento. Roteadores com essa capacidade possuem agentes de traceback (ATB) associados, sendo estes agentes respons´aveis por si-nalizar a marcac¸˜ao de pacotes nesses roteadores (p.ex. usando procedimentos de gerˆencia via SNMP ou automac¸˜ao de CLI) e reconstruir a rota desses pacotes. Um ATB tamb´em participa do roteamento OSPF, por´em de forma passiva com relac¸˜ao `a divulgac¸˜ao de rotas no dom´ınio. O objetivo ´e permitir ao ATB tomar conhecimento da topologia completa do dom´ınio, de modo a ser poss´ıvel a construc¸˜ao da rede sobreposta de rastreamento, conforme descrito na Sec¸˜ao 3.3.
Um ATB pode estar associado a mais de um roteador participante da rede so-breposta de rastreamento. Em um caso extremo, um ´unico ATB pode estar presente no dom´ınio; nesse caso, por´em, reca´ımos em uma abordagem centralizada, tornando o sistema mais vulner´avel a falhas e ataques. Assim, defendemos uma abordagem de implantac¸˜ao distribu´ıda de ATBs; nesse caso, ´e necess´ario que os ATBs divulguem uns aos outros os seus roteadores associados, o que ´e conseguido por meio do pr´oprio proto-colo OSPF, conforme descrito na Sec¸˜ao 3.2.
Figura 1. Exemplo de dom´ınio OSPF (adaptado de [Moy 1998]).
3.2. Uso do OSPF como ve´ıculo de comunicac¸˜ao do sistema proposto
Os roteadores OSPF trocam as informac¸˜oes entre si sobre a topologia do dom´ınio atrav´es do envio de an´uncios peri´odicos denominados LSAs (Link State Advertisements). O sistema proposto utiliza um LSA especial, denominado Opaque LSA. Opaque LSAs tˆem por objetivo dar flexibilidade ao OSPF, tendo sido usados com diferentes prop´ositos na literatura [Moy et al. 2003, Katz et al. 2003, Lindem et al. 2007]. Opaque LSAs po-dem ser de trˆes tipos: (i) tipo 9, que n˜ao ´e repassado para roteadores externos a uma rede local; (ii) tipo 10, que n˜ao ´e repassado par roteadores fora de uma ´area OSPF; (iii) tipo 11, que ´e repassado para todo o dom´ınio OSPF.
Para o sistema de rastreamento de tr´afego IP proposto neste trabalho, ´e criado um novo Opaque LSA do tipo 11, chamado IP Traceback Opaque LSA, que ´e gerado somente por ATBs. Cada ATB divulga um IP Traceback Opaque LSA contendo informac¸˜oes sobre os roteadores aos quais est´a associado. Isso permite que, ap´os a convergˆencia do protocolo OSPF, cada ATB conhec¸a todos os outros ATBs presentes no dom´ınio, bem como os seus roteadores associados, permitindo assim a construc¸˜ao da rede sobreposta de rastreamento, conforme descrito na Sec¸˜ao 3.3. ´E importante destacar que a distribuic¸˜ao dos IP Trace-back Opaque LSAs independe do conhecimento dos roteadores do dom´ınio acerca desses LSAs, pois os roteadores simplesmente difundem Opaque LSAs cujo prop´osito eles des-conhecem. Isso contribui tamb´em para que o sistema proposto possa ser implantado em dom´ınios OSPF de modo transparente para a infra-estrutura existente.
3.3. Criac¸˜ao da rede sobreposta para rastreamento de tr´afego IP
O objetivo da rede sobreposta ´e permitir que o rastreamento de pacotes de ataque seja feito entre os roteadores dela participantes (que n˜ao necessariamente s˜ao cont´ıguos no n´ıvel de rotamento por onde o pacote passou), partindo do roteador mais pr´oximo ao alvo do ataque. Sendo assim, a tarefa de rastreamento ´e feita salto a salto na rede sobreposta, eliminando a necessidade, comum em muitas propostas anteriores, do sistema de rastreamento ser implantado em todos os roteadores do dom´ınio.
Ap´os a convergˆencia do protocolo OSPF, cada roteador tem o conhecimento glo-bal sobre a topologia do dom´ınio, representada no processo OSPF desse roteador como um grafo. A partir deste momento o processo OSPF de cada roteador executa o algo-ritmo de Dijkstra [Dijkstra 1959] sobre seu grafo, que tem como resultado uma ´arvore, denominada ´arvore SPF (Shortest Path First), cuja raiz ´e o roteador em quest˜ao e cujas sub´arvores representam os melhores caminhos para cada poss´ıvel destino no dom´ınio. As Figuras 2(a) e 2(b) s˜ao exemplos (parciais), respectivamente, das ´arvores SPF para os ro-teadores RT1 e RT4 da Figura 1. Com base na sua ´arvore SPF, um roteador OSPF constr´oi a tabela de rotas a ser usada durante o encaminhamento de pacotes dentro do dom´ınio. Novamente os roteadores com uma borda dupla nas Figuras 2(a) e 2(b) indicam aqueles roteadores que participam da rede sobreposta de rastreamento.
(a) Roteador RT1. (b) Roteador RT4.
Figura 2. ´Arvores SPF.
Para a construc¸˜ao da rede sobreposta, cada ATB do dom´ınio executa o algoritmo de Dijkstra sobre seu grafo de modo a calcular, para cada um de seus roteadores associa-dos, uma ´arvore SPF distinta tendo como raiz o roteador em quest˜ao. A partir da ´arvore SPF de cada um de seus roteadores associados, um ATB extrai uma nova ´arvore, denomi-nada ´arvore de overlay, que representa os melhores caminhos entre o roteador em quest˜ao e os demais roteadores participantes na rede sobreposta de rastreamento. Continuando
com o exemplo da Figura 1, as Figuras 3(a) e 3(b) mostram as ´arvores de overlay para os roteadores RT1 e RT4, respectivamente.
(a) Roteador RT1. (b) Roteador RT4.
Figura 3. ´Arvores de overlay.
A partir da ´arvore de overlay de cada um de seus roteadores associados, um ATB constr´oi uma tabela de overlay indicando os roteadores vizinhos, na rede sobreposta, do roteador em quest˜ao. No exemplo das Figuras 3(a) e 3(b), a tabela de overlay para o roteador RT1 ´e composta pelos roteadores RT3 e RT4, e a tabela de overlay para o roteador RT4 ´e composta pelos roteadores RT1, RT3, RT7 e RT10. A Figura 4 ilustra a rede sobreposta resultante para o exemplo completo da Figura 1.
Figura 4. Rede sobreposta para a topologia da Figura 1.
3.4. Marcac¸˜ao de pacotes
O processo de marcac¸˜ao de pacotes utilizado no sistema de rastreamento descrito neste trabalho ´e similar ao utilizado em nosso trabalho anterior [Castelucio et al. 2009], em que um pacote ´e marcado no momento em que passa por um roteador de borda de um Sistema Autˆonomo – participante do sistema de rastreamento – atrav´es da inserc¸˜ao de informac¸˜oes relativas ao Sistema Autˆonomo no FBG presente no cabec¸alho do pa-cote. Basicamente, essas informac¸˜oes s˜ao o resultado de uma func¸˜ao de hash sobre o n´umero identificador do Sistema Autˆonomo (ASN - Autonomous System Number) com-binado com o TTL do pacote no momento em que o mesmo passa pelo roteador, de forma a identificar a sequˆencia correta dos Sistemas Autˆonomos por onde o pacote passou at´e chegar ao destino. No caso do sistema aqui descrito, a informac¸˜ao do ASN ´e substitu´ıda pelo enderec¸o IP da interface de sa´ıda do roteador que encaminhou o pacote. Nesse ponto ´e importante reiterar que somente os roteadores participantes da rede sobreposta efetuam a marcac¸˜ao dos pacotes. Utilizando a Figura 1 como exemplo, se um pacote ´e enviado a partir de uma estac¸˜ao origem que est´a na rede N1 e utiliza a rota RT1, RT4, RT5 e
RT7 para alcanc¸ar o seu destino na rede N6, os roteadores RT1, RT4 e RT7 s˜ao os que efetivamente fazem a marcac¸˜ao do pacote.
Considerando a possibilidade da implantac¸˜ao do sistema, ´e importante notar que o procedimento de marcac¸˜ao de pacotes n˜ao necessita de um grande esforc¸o computacional, pois pode ser feito atrav´es de algumas operac¸˜oes l´ogicas b´asicas [Laufer et al. 2005a]. O tamanho do FBG a ser adotado depende do compromisso entre a probabilidade da ocorrˆencia de falsos positivos e negativos, do n´umero de func¸˜oes de hash utilizadas e do n´umero de elementos a serem armazenados no FBG (uma an´alise detalhada pode ser encontrada em [Laufer et al. 2005a]). Por exemplo, se forem consideradas 16 func¸˜oes de hash (8 para preencher com 1 e 8 para preencher com 0 os bits do filtro), um FBG com 64 bits ter´a probabilidades de ocorrˆencia de falsos positivos de 0.09%, 0,5% e 3%, ap´os a inserc¸˜ao de 3, 5 e 8 elementos, respectivamente.
3.5. Processo de rastreamento de tr´afego
O processo de rastreamento de um ataque ´e disparado pelo administrador da rede onde o ataque foi detectado. O primeiro passo desse processo considera os roteadores participantes da rede sobreposta que est˜ao mais pr´oximos da rede atacada – a identificac¸˜ao desses roteadores pode ser feita facilmente a partir das ´arvores SPF mantidas pelos ATBs. O processo busca nos FBGs extra´ıdos dos pacotes atacantes a marcac¸˜ao de um desses roteadores. O roteador que tiver feito a marcac¸˜ao nesses pacotes ´e o primeiro na rota de rastreamento (a rota reversa do pacote, que vai em direc¸˜ao ao atacante). Os passos seguintes do processo s˜ao semelhantes, mas usando a estrutura da rede sobreposta mantida nos ATBs para identificar os roteadores seguintes na rota de rastreamento.
Utilizando as Figuras 1 e 4 como exemplo, consideremos um ataque direcionado a uma m´aquina na rede N7. Consideremos tamb´em, para simplificar a explicac¸˜ao, o tratamento de um ´unico pacote de ataque, e que cada ATB no sistema esteja associado a um ´unico roteador participante da rede sobreposta. Supondo que o pacote de ataque foi encaminhado pelos roteadores RT1, RT4 e RT7, o primeiro passo do processo de rastreamento identificaria RT7 como o primeiro na rota de rastreamento, uma vez que o FBG do pacote de ataque n˜ao est´a marcado pelo roteador RT10 (o outro roteador da rede sobreposta mais pr´oximo da rede N7). No passo seguinte, o ATB do roteador RT7 deve buscar no FBG marcas que pertenc¸am aos roteadores RT3, RT4 ou RT10. A marca correspondente ser´a a do roteador RT4. Deste modo, o ATB do roteador RT7 envia um pacote de reconstruc¸˜ao de rota para o ATB do roteador RT4. Este pacote cont´em o FBG do pacote de ataque e uma lista dos roteadores j´a inclu´ıdos na rota de rastreamento (com o intuito de prevenir a ocorrˆencia de loops). O ATB do roteador RT4, por sua vez, repete o processo feito pelo ATB do roteador RT7 buscando no FBG marcas que pertenc¸am aos roteadores RT1, RT3 ou RT10. A marca encontrada ´e a do roteador RT1 e, portanto, o ATB do roteador RT4 envia o pacote de reconstruc¸˜ao de rota para o ATB do roteador RT1. O processo de rastreamento termina quando o ATB do roteador RT1 verifica que n˜ao h´a mais marcas no FBG que correspondam a vizinhos na rede sobreposta ainda n˜ao inclu´ıdos na rota de rastreamento. Este processo ´e similar ao realizado em [Castelucio et al. 2009] no sistema de rastreamento inter-dom´ınio.
4. Avaliac¸˜ao do sistema proposto
Nesta sec¸˜ao, ´e investigada a eficiˆencia e o desempenho do sistema de rastreamento intra-dom´ınio proposto. Para esta verificac¸˜ao, foram utilizadas duas abordagens para a escolha dos roteadores participantes da rede sobreposta no dom´ınio: (i) posicionamento estrat´egico, onde os roteadores com maior n´umero de conex˜oes foram escolhidos para se tornarem roteadores participantes da rede sobreposta primeiro; (ii) posicionamento aleat´orio, onde a implantac¸˜ao do sistema de rastreamento foi feita aleatoriamente nos roteadores do dom´ınio.
Um dos objetivos desta simulac¸˜ao ´e comparar os m´etodos de posicio-namento do sistema de rastreamento inter-dom´ınio proposto em Castelucio et al. [Castelucio et al. 2009] e o sistema intra-dom´ınio aqui proposto. Em uma topologia no n´ıvel de Sistemas Autˆonomos, ou seja inter-dom´ınio, existe uma tendˆencia de novos n´os se conectarem a outros n´os j´a existentes que tenham um alto grau de conectividade – um fenˆomeno conhecido como preferential attachment – conforme a rede aumenta de tama-nho [Faloutsos et al. 1999, Medina et al. 2000]. Essas topologias s˜ao conhecidas como livres de escala (scale-free). Por outro lado, em uma topologia intra-dom´ınio, a colocac¸˜ao e o posicionamento de novos n´os independe do grau de conectividade e varia de acordo com a necessidade do dom´ınio.
Outro prop´osito das simulac¸˜oes ´e analisar o desempenho da implementac¸˜ao par-cial e gradual do sistema proposto. Em outras palavras, a intenc¸˜ao ´e avaliar a relac¸˜ao entre a quantidade de roteadores participantes da rede sobreposta no dom´ınio e a acur´acia no rastreamento. Para isto, foram observadas caracter´ısticas no caminho reverso dos pa-cotes indicado pelo sistema proposto, variando-se a porcentagem de implementac¸˜ao do sistema no dom´ınio de rede. Os resultados das simulac¸˜oes representam valores m´edios, de±5.2% para o posicionamento estrat´egico e ±6.6% para o posicionamento aleat´orio, com um n´ıvel de confianc¸a de 99%.
4.1. Configurac¸˜ao da simulac¸˜ao
Para gerar as topologias intra-dom´ınio, foi usado o gerador de topologia Nem [Magoni 2002]. Para executar as simulac¸˜oes usamos o simulador de rede NS-2 [Network Simulator NS-2 1995].
Apresentamos resultados para topologias intra-dom´ınio contendo 50, 150, 250 e 350 roteadores, dimens˜oes que cobrem a grande maioria dos dom´ınios. Para cada amostra, foram simuladas trˆes diferentes topologias de dom´ınio com 12 conjuntos aleat´orios de atacantes. A quantidade de atacantes selecionada foi 10% do tamanho do dom´ınio, ou seja, para um dom´ınio com 50 roteadores, foram usados 5 atacantes; para um dom´ınio com 350 roteadores, foram usados 35 atacantes, e assim por diante, enviando tr´afego para uma v´ıtima.
Para os gr´aficos que comparam o sistema de rastreamento inter-dom´ınio proposto em [Castelucio et al. 2009] e o sistema de rastreamento intra-dom´ınio aqui proposto, fo-ram utilizadas as m´edias dos resultados para 300, 600 e 900 roteadores no sistema de rastreamento inter-dom´ınio e para 50, 150, 250 e 350 roteadores no sistema aqui pro-posto.
4.2. Resultados
Na Figura 5 ´e apresentado o percentual da rota de ataque descoberta dependendo da frac¸˜ao de roteadores participantes da rede sobreposta presentes no dom´ınio. Os resul-tados mostram que usando o posicionamento estrat´egico, s˜ao descobertos quase 90% do caminho reverso dos ataques dentro do dom´ınio com aproximadamente 60% de roteado-res participantes da rede sobreposta. Por outro lado, para alcanc¸ar os mesmos roteado-resultados usando o posicionamento aleat´orio, praticamente 90% do roteadores do dom´ınio devem ser participantes da rede sobreposta. Relaxando-se a exigˆencia de encontrar-se todo o ca-minho percorrido pelo ataque, o posicionamento estrat´egico permite encontrar, por exem-plo, 60%, 70% e 80% da rota percorrida pelo tr´afego de ataque com aproximadamente 20%, 30% e 40% de roteadores participantes da rede sobreposta no dom´ınio. Ou seja, com uma porc¸˜ao relativamente pequena de roteadores do dom´ınio de rede possuindo o sistema proposto implantado – desde que utilizando este tipo de posicionamento estrat´egico – ´e poss´ıvel identificar uma grande porc¸˜ao da rota seguida pelos pacotes de ataque.
0 10 20 30 40 50 60 70 80 90 100 0 10 20 30 40 50 60 70 80 90 100 Rota descoberta (%)
Roteadores participantes da rede sobreposta (%) 50 roteadores (E) 150 roteadores (E) 250 roteadores (E) 350 roteadores (E) 50 roteadores (A) 150 roteadores (A) 250 roteadores (A) 350 roteadores (A)
Figura 5. Descoberta da rota de ataque.
Na Figura 6 ´e observado que usando o posicionamento estrat´egico, para que o sis-tema descubra quase 100% dos roteadores diretamente conectados aos atacantes, ou seja, o primeiro roteador por onde os pacotes de ataque s˜ao encaminhados, ´e necess´ario que aproximadamente 70% dos roteadores do dom´ınio sejam participantes da rede sobreposta. Por´em, mesmo que apenas 20% dos roteadores do dom´ınio sejam participantes da rede sobreposta, o sistema ainda ´e capaz de identificar 80% dos roteadores de onde os paco-tes de ataque s˜ao originalmente encaminhados. Para alcanc¸ar espaco-tes resultados utilizando o posicionamento aleat´orio, aproximadamente 100% e 80% do roteadores do dom´ınio, respectivamente, devem ser participantes da rede sobreposta.
Na Figura 7 ´e feita a comparac¸˜ao do sistema inter-dom´ınio proposto em [Castelucio et al. 2009] e do sistema intra-dom´ınio aqui proposto. Podemos observar que no posicionamento estrat´egico, apesar das topologias inter-dom´ınio n˜ao possu´ırem as mesmas caracter´ısticas livres de escala das topologias intra-dom´ınio, o desempenho dos sistemas n˜ao ´e t˜ao diferente, tendo seu ponto de maior impacto entre 20% e 30% de
0 10 20 30 40 50 60 70 80 90 100 0 10 20 30 40 50 60 70 80 90 100
Roteador origem dos pacotes de ataque (% descoberto)
Roteadores participantes da rede sobreposta (%) 50 roteadores (E) 150 roteadores (E) 250 roteadores (E) 350 roteadores (E) 50 roteadores (A) 150 roteadores (A) 250 roteadores (A) 350 roteadores (A)
Figura 6. Descoberta da rota de ataque – roteadores diretamente conectados aos atacantes.
teadores participantes da rede sobreposta no dom´ınio. No posicionamento aleat´orio esta diferenc¸a ´e ainda menor, onde o desempenho apresentado pelos sistemas ´e praticamente o mesmo. 0 10 20 30 40 50 60 70 80 90 100 0 10 20 30 40 50 60 70 80 90 100 Rota descoberta (%)
Roteadores participantes da rede sobreposta (%) Intra-dominio (E) Inter-dominio (E) Intra-dominio (A) Inter-dominio (A)
Figura 7. Sistema proposto em [Castelucio et al. 2009] X sistema proposto neste trabalho – descoberta da rota de ataque.
A Figura 8 mostra a comparac¸˜ao entre os sistemas no que diz respeito ao rastre-amento dos roteadores que est˜ao diretamente conectados aos atacantes. Neste gr´afico, tanto no posicionamento estrat´egico quanto no aleat´orio os resultados s˜ao praticamente os mesmos, n˜ao havendo diferenc¸as no desempenho dos sistemas.
0 10 20 30 40 50 60 70 80 90 100 0 10 20 30 40 50 60 70 80 90 100
Roteadores conectados aos atacantes (% descoberta)
Roteadores participantes da rede sobreposta (%) Intra-dominio (E) Inter-dominio (E) Intra-dominio (A) Inter-dominio (A)
Figura 8. Sistema proposto em [Castelucio et al. 2009] X sistema proposto neste trabalho – roteadores diretamente conectados aos atacantes.
5. Conclus˜ao e trabalhos futuros
Neste artigo propusemos um sistema de rastreamento intra-dom´ınio de tr´afego IP, que utiliza caracter´ısticas do protocolo de roteamento OSPF para permitir a criac¸˜ao de uma rede sobreposta respons´avel pela marcac¸˜ao e determinac¸˜ao de rotas dos pacotes de ataque. O sistema de rastreamento proposto pode ser implantado parcial e gradualmente dentro de um dom´ınio de rede, eliminando a necessidade de sua implantac¸˜ao em todos os roteadores desse dom´ınio. Com isso, o sistema permite um custo de implantac¸˜ao menor do que em outros sistemas de rastreamento no n´ıvel de roteadores.
S˜ao realizadas simulac¸˜oes com o intuito de comparar os m´etodos de posiciona-mento do sistema de rastreaposiciona-mento inter-dom´ınio proposto em [Castelucio et al. 2009] e o sistema aqui descrito, afim de verificar o comportamento e o desempenho dos sistemas em topologias apresentando diferentes caracter´ısticas. Tamb´em ´e avaliada a relac¸˜ao entre a acur´acia no rastreamento e a implementac¸˜ao parcial e gradual do sistema de rastreamento dentro dos Sistemas Autˆonomos.
Nas simulac¸˜oes s˜ao usadas duas formas de posicionar o sistema de rastreamento proposto dentro do dom´ınio: estrat´egica, onde ´e considerado o grau de conectividade dos roteadores no momento da escolha de qual roteador ter´a o sistema de rastreamento insta-lado primeiro; e aleat´orio, onde os roteadores s˜ao sorteados para ter o sistema instainsta-lado.
Os resultados das simulac¸˜oes mostram que atrav´es do posicionamento estrat´egico do sistema proposto, pode-se ter informac¸˜ao suficiente para filtrar os pacotes de ataque de forma distribu´ıda bem perto de suas fontes, j´a que com 20% de roteadores partici-pantes da rede sobreposta no dom´ınio de rede ´e poss´ıvel rastrear aproximadamente 80% dos roteadores que fazem o primeiro encaminhamento dos pacotes de ataque, ou seja, os roteadores diretamente conectados aos atacantes. Com uma taxa similar a esta o sis-tema proposto ´e capaz de identificar aproximadamente 60% do caminho reverso total dos pacotes, permitindo uma filtragem mais distribu´ıda ao longo do caminho.
Por outro lado, posicionando o sistema de rastreamento aleatoriamente dentro de um dom´ınio de rede, os resultados obtidos n˜ao s˜ao t˜ao relevantes. Por´em, tendo em vista que apenas uma quantidade pequena de administradores – com interesses comuns – ´e respons´avel pela decis˜ao da instalac¸˜ao do sistema de rastreamento, a escolha de quais roteadores ser˜ao escolhidos para ter o sistema instalado e consequentemente se tornarem roteadores participantes da rede sobreposta depende apenas da dimens˜ao e da disposic¸˜ao dos roteadores no dom´ınio.
Como trabalhos futuros pretendemos refinar a proposta considerando o caso de dom´ınios OSPF divididos em ´areas. Na realidade, o uso de Opaque LSAs do tipo 11 em nossa proposta permite a construc¸˜ao da rede sobreposta de rastreamento mesmo quando ´areas OSPF s˜ao usadas em um dom´ınio de rede. As ´unicas excec¸˜oes s˜ao as ´areas stub, que n˜ao permitem a divulgac¸˜ao interna desse tipo de LSA. O tratamento desse caso espec´ıfico constitui um ponto de trabalho futuro. Pretendemos tamb´em viabilizar a integrac¸˜ao do sis-tema de rastreamento intra-dom´ınio proposto neste trabalho ao sissis-tema de rastreamento inter-dom´ınio proposto em [Castelucio et al. 2009]. O objetivo dessa integrac¸˜ao ´e permi-tir a realizac¸˜ao de um rastreamento hier´arquico, onde em um primeiro momento o Sistema Autˆonomo de onde s˜ao originados os pacotes de ataque possa ser descoberto, e em um segundo momento haja a descoberta do atacante dentro deste dom´ınio, aumentado assim as chances de se chegar mais perto do atacante e realizar a filtragem de modo ainda mais eficiente.
Agradecimentos
Este trabalho foi parcialmente financiado pelo MCT, CNPq e FAPERJ.
Referˆencias
Bloom, B. (1970). Space/time tradeoffs in hash coding with allowable errors. Communi-cations of the ACM, 13(7):422–426.
Castelucio, A. O., Salles, R. M., e Ziviani, A. (2009). An AS-level overlay network for IP traceback. IEEE Network, 23(1):36–41.
Chandra, R., Traina, P., e Li, T. (1996). BGP Communities Attribute. Internet Engineering Task Force. RFC 1997.
Coltun, R. (1998). The OSPF Opaque LSA Option. RFC 2370.
Dijkstra, E. W. (1959). A note on two problems in connexion with graphs. Numerische Mathematik, 1:269–271.
Durresi, A., Paruchuri, V., Barolli, L., Kannan, R., e Iyengar, S. S. (2004). Efficient and secure autonomous system based traceback. Journal of Interconnection Networks, 5(2):151–164.
Faloutsos, M., Faloutsos, P., e Faloutsos, C. (1999). On power-law relationships of the internet topology. In SIGCOMM ’99: Proceedings of the conference on Applications, technologies, architectures, and protocols for computer communication, p´ag. 251–262, New York, NY, USA. ACM Press.
Ferguson, P. e Senie, D. (2002). Network Ingress Filtering: Defeating Denial of Service Attacks which employ IP Source Address Spoofing. Internet Engineering Task Force. RFC 2827.
Hussain, A., Heidemann, J., e Papadopoulos, C. (2003). A framework for classifying denial of service attacks. In SIGCOMM ’03: Proceedings of the 2003 conference on Applications, technologies, architectures, and protocols for computer communications, p´ag. 99–110, New York, NY, USA. ACM Press.
Katz, D., Kompella, K., e Yeung, D. (2003). Traffic Engineering (TE) Extensions to OSPF Version 2. RFC 3630.
Korkmaz, T., Gong, C., Sarac, K., e Dykes, S. (2007). Single packet IP traceback in AS-level partial deployment scenario. International Journal of Security and Networks, 2(1/2):95–108.
Laufer, R. P., Velloso, P. B., de O. Cunha, D., Moraes, I. M., Bicudo, M. D. D., e Duarte, O. C. M. B. (2005a). A new IP traceback system against denial-of-service attacks. In 12th International Conference on Telecommunications - ICT’2005, Capetown, South Africa.
Laufer, R. P., Velloso, P. B., e Duarte, O. C. M. B. (2005b). Generalized bloom filters, gta-05-43. Technical report, COPPE/UFRJ.
Lindem, A., Shen, N., Vasseur, J., Aggarwal, R., e Shaffer, S. (2007). Extensions to OSPF for Advertising Optional Router Capabilities. RFC 4970.
Magoni, D. (2002). Network manipulator. https://dpt-info.u-strasbg.fr/ magoni/nem. Medina, A., Matta, I., e Byers, J. (2000). On the origin of power laws in internet
topolo-gies. SIGCOMM Comput. Commun. Rev., 30(2):18–28.
Moore, D., Shannon, C., Brown, D. J., Voelker, G. M., e Savage, S. (2006). Inferring internet denial-of-service activity. ACM Trans. Comput. Syst., 24(2):115–139.
Moy, J. (1998). OSPF version 2. Internet Engineering Task Force. RFC 2328. Moy, J., Pillay-Esnault, P., e Lindem, A. (2003). Graceful OSPF Restart. RFC 3623. Network Simulator 2 (1995). http://www.isi.edu/nsnam/ns.
NIST (2007). Guide to Intrusion Detection and Prevention Systems - (IDPS). Technical report, NIST- National Institute of Standards and Technology.
Rekhter, Y. e Li, T. (1995). A border gateway protocol 4 (BGP-4). RFC 1771.
Savage, S., Wetherall, D., Karlin, A., e Anderson, T. (2000). Practical network support for IP traceback. In Proceedings of the 2000 conference on Applications, technologies, architectures, and protocols for computer communications (SIGCOMM), p´ag. 295– 306, Stockholm, Sweden.
Snoeren, A. C., Partridge, C., Sanchez, L. A., Jones, C. E., Tchakountio, F., Schwartz, B., Kent, S. T., e Strayer, W. T. (2002). Single-packet IP traceback. IEEE/ACM Trans. Netw., 10(6):721–734.
