32 - Identifikace síťového provozu (signatury, statistické metody), důvěra na Internetu (reputační systémy).
pondělí 21. května 2018
17:24
Identifikace provozu
Podle hodnot z hlaviček paketů
Např. ethernet, IP, TCP/UDP, hlavička aplikačního prokolu
Ne vždy možné použít:
Komunikující aplikace nemusí být pevně svázaná s číslem portu
Tunelování sít’ového provozu: zapouzdření v jiném protokolu
Podle signatury
Signatura (pattern, signature) = statický řetězec tvořený posloupností znaků z hlavičky či těla protokolu, který slouží k rozpoznání daného protokolu
Obvykle se hledají typické řetězce, které si objevují v paketu daného protokolu
proprietární protokoly
šifrování, tunelování
fragmentace do více paketů
Vytvářejí se databáze signatur. Následně se potom hledá signatura v databázi. 
Automatické signatury
Tvorba signatur není jednoduchá. Vyžaduje expertní nalosti protokolů => snaha proces tvorby signatur automatizovat. 
Postup:
Získání signatury bez dopředné znalosti protokolu
Použizí algoritmus LCS (Longest Common Subsequence)
Signatura protokolu se určí na základě metriky blízkosti (closeness)
Stačí analyzovat prvních 10 paketů. Minimální délka podřetězce je 3 znaky. 
Zde se nejdřív vytvoří statický model protokolu a následně porovnáváme neznámý protokol oproti vytvořeným modelům
Nevadí tedy šifrovaná nebo zapouzdřená data
Méně náročné než signatury
Nejsou potřeba data paketů, stačí metadata - odezva, velikost paketu, počet paketů v daném směru...
Ke klasifikaci paketů potřebujeme model, určit sledované vlastnosti paketů, metriku blízkosti, stanovení prahové hodnoty a algoritmus porovnání
Otisk protokolu (protocol fingerprint) = soubor vlastností protokolu, které lze využít k jednoznačné identifikaci protokolu.
Metoda jednoduchých statických otisků
Atributy: 
velikost IP paketu s
Časový odstup paketů ∆t
Pořadí paketu v toku i
 Spočítá se hustota pravděpodobnosti pro dané pakety. Aplikací Gaussova filtru dostanama masku pro klasifikaci
Otisk protokolu potom tvoří dvojice  maska a prahová hodnota, která je vypočítaná z trénovací množiny
Vzdálesnoti neznámého toku od masek vzorků se počítá pomocí anomaly score
Hledáme minimální vzdálenost, která je dostatečně blízko
Metoda SPID
Kombinace statistického chování (směr paketů, pořadí paketu, velikost paketu) a aplikačních atributů (ByteValueFrequency, ByteOffsetValueData)
Spočítá se z toho rozložení pravděpodobnosti a hledají se vzdálenosti mezi rozloženími
Důvěra na Internetu
Důvěra je asymetrická, tranzitivní relace, kter vyjadřuje důvěryhodnost jedné entity vůči druhé. Důvěra nejde určit přímo => je nutné hledat znaky, které nám rozliší důvěryhodné od nedůvěryhodných.
Reputace je znak důvěryhodnosti vyjádřený svědectvím dalších entit. Není to dokonalý znak důvěry a je efektivní pouze pokud jsou svědectví nezávislá a důvěrychodná.
Pro budování důvěry na Internetu potřebujeme:
Informace vhodné pro měření důvěry a reputace v dané aplikaci
Metrika pro výpočet hodnoty reputace 
Způsob získání a udržování těchto informací
Reputační systém, který je odolný vůči manipulaci
Reputační systém: 
Centralizovaný: 
Hodnotitelé předávají výsledky centrálnímu systému
Systém na základě nich vyhodnotí reputaci entit
Distribuovaný:
Pro výměnu hodnocení se používá spolehlivý partner
Tito partneři počítají reputaci na základě obdržených hodnocení
Využití např. v sítích P2P pro hodnocení spolehlivosti uzlu
Metody výpočtu důvěry:
Součet hodnocení: suma pozitivních - suma negativních
Průměr hodnocení (amazon)
Belief models
Modely toků (Google Pagerank)
Síťový reputační systém:
Platforma pro monitorování aktivit v síti
Sbírá data ze senzerů, firewallů, IPS, antivirů...
Z těchto údajů počítá hodnotu risku
Bere v úvahu historická data
Notes*
Identifikace síťového provozu, důvěra na Internetu.
Kdo me primarne zkousel: Vesely
Co jsem k tomu rekl(a)/na co se ptali/co mne vytkli:
EM mi podal papieriky s otazkami, prebehol som ich ocami a ako prvu som vybral tuto. Vesely mi hned na zaciatku povedal, co by chcel odomna pocut. Zacal som, ze co je to identifikacia, k comu sa robi a podobne. Tak som hned presiel na metody, kde som popisal prve dve (podla hodnot hlaviek paketov, signatury), tu tretiu (podla chovania) som zacal popisovat ako to funguje a nakoniec sme sa dopracovali aj k tomu nazvu. Dalej sa ma pytal ako by sa dali jednotlive metody implementovat, narocnost vypoctu a podobne. Tak zazvonil budik a este v skratke o tej dovere na Internetu. Nieco som naznacil, ze co to je, spomenul som reputacne systemy, spytal sa ma k comu to je, dal som mu nejaky priklad, prikoval, ze mu to staci. Za B.
From <[link]> 