An entropy-based VoIP flooding attacks detection and prevention system

Zargar, Reihaneh Haji Mahdizadeh; Moghaddam, Mohammad Hossein Yaghmaee

doi:10.1109/iccke.2014.6993385

Cited by 6 publications

(2 citation statements)

References 20 publications

Supporting

Mentioning

Contrasting

Order By: Relevance

“…A similar approach that used Shannon entropy instead of HD for network traffic behavior analysis was proposed in [34]. They started with network traffic, free from attack, to create the required sketch table, and calculated the entropy over this structure to use as a comparison reference.…”

Section: Statistically Based Approachesmentioning

confidence: 99%

Survey of Countering DoS/DDoS Attacks on SIP Based VoIP Networks

et al. 2020

View full text Add to dashboard Cite

Voice over IP (VoIP) services hold promise because of their offered features and low cost. Most VoIP networks depend on the Session Initiation Protocol (SIP) to handle signaling functions. The SIP is a text-based protocol that is vulnerable to many attacks. Denial of Service (DoS) and distributed denial of service (DDoS) attacks are the most harmful types of attacks, because they drain VoIP resources and render SIP service unavailable to legitimate users. In this paper, we present recently introduced approaches to detect DoS and DDoS attacks, and classify them based on various factors. We then analyze these approaches according to various characteristics; furthermore, we investigate the main strengths and weaknesses of these approaches. Finally, we provide some remarks for enhancing the surveyed approaches and highlight directions for future research to build effective detection solutions.

show abstract

Section: Statistically Based Approachesmentioning

confidence: 99%

Survey of Countering DoS/DDoS Attacks on SIP Based VoIP Networks

et al. 2020

View full text Add to dashboard Cite

show abstract

“…Two years later, Zargar et al [125] presented an anomaly-based approach to prevent and detect DoS attacks in SIP. The proposed approach builds over Entropy theory and makes use of a compressed summarized table of the packet data, i.e., a three-dimensional Sketch structure.…”

Section: Statistical Schemesmentioning

confidence: 99%

Ανίχνευση Και Πρόληψη Επιθέσεων Άρνησης Εξυπηρέτησης Στα Πρωτόκολλα SIP Και SDP

Τσιάτσικας¹

View full text Add to dashboard Cite

Οι πολυμεσικές υπηρεσίες που παρέχονται μέσω του Διαδικτύου, και συγκεκριμένα αυτές που αξιοποιούν το πρωτόκολλο SIP για τη διαχείριση της σηματοδοσίας, συνεχίζουν να αναπτύσσονται ραγδαία. Επιπρόσθετα, οι εν λόγω υπηρεσίες αποτελούν ένα από τα βασικά δομικά στοιχεία των δικτύων ύστερων γενεών (5G). Ανεξαρτήτως του ρυθμού ανάπτυξης τους, οι πολυμεσικές υπηρεσίες που αξιοποιούν το SIP παρουσιάζουν μια ευρεία επιφάνεια ευπαθειών, καθιστώντας τις αντίστοιχες υπηρεσίες επιρρεπείς σε ένα μεγάλο σύνολο επιθέσεων. Μεταξύ αυτών, οι επιθέσεις άρνησης εξυπηρέτησης ανήκουν στην κατηγορία ισχυρότερων και καταστρεπτικότερων, καθώς στοχεύουν στην κατανάλωση των πόρων των εμπλεκομένων συστημάτων και δικτύων, με σκοπό να τα παραλύσουν και να προκαλέσουν δυσαρέσκεια στον τελικό χρήστη. Μέχρι στιγμής, η βιβλιογραφία στο συγκεκριμένο ερευνητικό πεδίο εμφανίζει ένα σημαντικό πλήθος εργασιών με σκοπό την ανίχνευση, την αποτροπή και την ελαχιστοποίηση των επιπτώσεων των επιθέσεων άρνησης εξυπηρέτησης. Συνολικά, αν και η συγκεκριμένη περιοχή έχει μελετηθεί εκτενώς στη βιβλιογραφία, φαίνεται να υπάρχει ένα σημαντικό κενό αναφορικά με την αποτίμηση των μεθόδων ή/και πλαισίων ασφαλείας, και την αξιολόγηση τους, όταν αυτά λειτουργούν τόσο σε πραγματικό, όσο και σε μη πραγματικό χρόνο. Επιπρόσθετα, μόνο ένα μικρό σύνολο των εν λόγω εργασιών ασχολείται με την εφαρμογή τεχνικών μηχανικής μάθησης για την ανίχνευση περιστατικών άρνησης εξυπηρέτησης σε περιβάλλοντα SIP. Τέλος, ενώ το μεγαλύτερο μέρος της σχετικής βιβλιογραφίας ασχολείται με τις επιθέσεις άρνησης εξυπηρέτησης που έχουν ώς φορέα τις κεφαλίδες των μηνυμάτων SIP, ελάχιστες εξετάζουν το κυρίως σώμα του μηνύματος. Επιπλέον, ενώ μέχρι τώρα ένας σημαντικός όγκος των σχετικών εργασιών στην παρούσα ερευνητική περιοχή ασχολούνται με επιθέσεις στο πρωτόκολλο SIP, ελάχιστες από αυτές ασχολούνται με τη δημιουργία συγκεκαλυμμένων καναλιών, και καμία με την αξιοποίηση του πρωτοκόλλου SDP ως φορέα αυτών. Η σημαντικότερη συνεισφορά της παρούσας διατριβής αφορά στην ανάπτυξη και το σχεδιασμό ενός συστήματος ανίχνευσης εισβολών, με σκοπό την καταπολέμηση κατανεμημένων επιθέσεων άρνησης εξυπηρέτησης στο SIP. Ο στόχος αυτός, εκπληρώνεται με το σχεδιασμό και την ανάπτυξη μηχανισμών ανίχνευσης εισβολών που βασίζονται στην ανάλυση αρχείων λογιστικών καταγραφών του δικτύου στο επίπεδο εφαρμογής. Τα αρχεία αυτά θεωρούνται μια πλούσια πηγή πληροφορίας αναφορικά με την ανίνευση περιστατικών άρνησης εξυπηρέτησης, καθώς και για την γενικότερη αξιολόγηση του επιπέδου ασφαλείας ενός συστήματος. Συγκεκριμένα, σχεδιάζουμε, υλοποιούμε και αξιολογούμε μια υπηρεσία ανίχνευσης εισβολών που επιπλέον διατηρεί την ιδιωτικότητα του τελικού χρήστη με γνώμονα την ιδιωτικότητα, για την αξιολόγηση επιθέσεων άρνησης εξυπηρέτησηςη ενός παρόχου υπηρεσιών VoIP, είτε εξετάζοντας αρχεία λογιστικών καταγραφών, ή εξετάζοντας τη δικτυακή κίνηση σε πραγματικό χρόνο. Για να επιτευχθεί αυτό, αξιοποιούμε δύο στατιστικές μεθόδους που βασιζονται στην εντροπία και την απόσταση Hellinger. Μια δεύτερη συνεισφορά της παρούσας διατριβής επικεντρώνεται στην αξιολόγηση της εφαρμογής πέντε διαφορετικών τεχνικών μηχανικής μάθησης, με σκοπό την καταπολέμηση των επιθέσεων κατανεμημένης άρνησης εξυπηρέτησης. Στην αξιολόγηση των μεθόδων μας λαμβάνουμε υπόψη επιθέσεις τόσο υψηλού όσο και χαμηλού όγκου δεδομένων και ρυθμών μετάδοσης μηνυμάτων. Επιπρόσθετα, στο πλαίσιο της ανάλυσης μας, και για την περίπτωση των κατανεμημένων επιθέσεων άρνησης εξυπηρέτησης, συγκρίνουμε τις επιδόσεις του συστήματος με αυτές που παρήχθησαν κατά την εφαρμογή των στατιστικών μεθόδων, δηλαδή της εντροπίας και της απόστασης Hellinger. Υπό αυτό το πρίσμα, εξετάζουμε τις ακόλουθες δύο βασικές κατηγορίες επιθέσεων (α) αυτές που χρησιμοποιούν το πρωτόκολλο SDP - το οποίο αξιοποιείται από το SIP - ως φορέα προκειμένου να μεταφέρουν κρυφή πληροφορία, και (β) αυτές που αξιοποιούν συγκεκριμένα τμήματα ενός μηνύματος SDP με σκοπό να προκαλέσουν άρνηση εξυπηρέτησης στα εμπλεκόμενα συστήματα ή/και στον χρήστη της υπηρεσίας. Ως παράδειγμα του πρώτου τύπου επιθέσεων παρουσιάζουμε και αξιολογούμε τη λειτουργία ενός απλού αλλά ιδιαίτερα αποτελεσματικού κρυφού καναλιού επικοινωνίας, το οποίο βασίζεται αποκλειστικά στο πρωτόκολλο SDP, για την επικοινωνία μολυσμένων συσκευών (ρομπότ) μεταξύ τους ή με τον διακομιστή εντολών (C&C). Σε αυτό το πλαίσιο, όχι μόνο εξερευνούμε αυτή την κατηγορία επιθέσεων, αλλά επίσης καταδεικνύουμε την επίδραση τους στον τελικό χρήστη. Επιπρόσθετα, υλοποιούμε ένα επεκτάσιμο άρθρωμα ανοιχτού λογισμικού, ικανό να ανιχνεύει εκούσια ή ακούσια αλλοιωμένα μηνύματα SDP, τα οποία παρασιτούν στα μηνύματα SIP. Ακολουθώντας μια λογική παρόμοια με αυτή ενός αναχώματος ασφαλείας, το εν λόγω άρθρωμα λογισμικού μέχρι στιγμής ενσωματώνει 100 διαφορετικούς κανόνες, οργανωμένους σε 4 κατηγορίες (πολιτικές) σύμφωνα με το RFC 4566.

show abstract