Real-Time Anomaly Detection in Software-Defined Networks using an Integrated ELK Stack and Machine Learning Framework

Moderne Computernetzwerke sind riesige, komplexe Systeme, die jede Sekunde Daten zwischen Millionen von Geräten bewegen. Jahrzehntelang wurden diese Netzwerke von einzelnen Hardware-Boxen verwaltet, von denen jede ihre eigenen Entscheidungen darüber traf, wohin Informationen gesendet werden sollten. Ein neuerer Ansatz, bekannt als Software-Defined Networking (SDN), ändert dies, indem er die Entscheidungsgewalt aus den einzelnen Boxen herausnimmt und sie in ein einziges, zentrales Computerprogramm namens Controller überträgt. Dieser zentrale Controller fungiert als das Gehirn des Netzwerks, sieht das gesamte System auf einmal und steuert den Datenverkehr mit großer Flexibilität. Diese Zentralisierung schafft jedoch eine neue Art von Risiko. Wenn es einem Angreifer gelingt, dieses einzelne Gehirn zu kompromittieren, kann er das gesamte Netzwerk stören. Da der Controller so kritisch ist, benötigen Sicherheitsteams eine Möglichkeit, ihn ständig zu überwachen und nach seltsamem Verhalten im Moment des Geschehens Ausschau zu halten. Die Herausforderung besteht darin, dass der Controller und die von ihm verwalteten Geräte massive Mengen an digitalen Aufzeichnungen, oder Logs, erzeugen, die oft schwierig zu lesen und schnell genug zu analysieren sind, um einen Angriff im Gange zu stoppen.

Forscher der Chouaib Doukkali Universität und der International University of Rabat haben ein System entwickelt, das darauf abzielt, dieses Problem zu lösen, indem es leistungsstarke Log-Analysewerkzeuge mit künstlicher Intelligenz kombiniert. Ihre Arbeit konzentriert sich auf die Entwicklung eines Echtzeit-Überwachungssystems, das ein Software-Defined Network überwachen, verstehen kann, was normal ist, und sofort alles Ungewöhnliche meldet. Um ihre Idee zu testen, verwendeten sie kein lebendes, öffentliches Netzwerk, da dies zu gefährlich für Experimente gewesen wäre. Stattdessen erstellten sie innerhalb eines Computers mithilfe eines Tools namens Mininet eine virtuelle Kopie eines Netzwerks. Diese virtuelle Umgebung enthielt einen zentralen Controller und mehrere Switches, die echte Netzwerk-Hardware imitieren. Sie verbanden dieses virtuelle Netzwerk dann mit einem Monitoring-Framework, das aus Open-Source-Software namens ELK-Stack aufgebaut ist. Dieses Framework fungiert wie ein Hochgeschwindigkeits-Fließband für Informationen: Es sammelt die Rohtext-Logs des Controllers und der Switches, bereinigt sie, organisiert sie in ein durchsuchbares Format und zeigt sie auf einem Bildschirm für menschliche Operatoren an.

Die Forscher standen vor einer spezifischen Hürde: Die Logs, die vom zentralen Controller kommen, und die Logs, die von den Netzwerk-Switches kommen, sind in unterschiedlichen Formaten geschrieben und enthalten unterschiedliche Arten von Informationen. Um dies zu handhaben, programmierten sie das System so, dass es diese beiden Quellen unterschiedlich behandelt. Die Logs vom zentralen Controller wurden direkt an das Monitoring-System gesendet, während die Logs von den Switches zuerst von einem lokalen Hilfsprogramm gesammelt wurden, bevor sie weitergeleitet wurden. Sobald alle Daten beim zentralen System eintrafen, wurden sie verarbeitet und in strukturierte Daten umgewandelt, die ein Computer leicht verstehen konnte. Der wichtigste Teil ihres Designs war die Integration von maschinellem Lernen direkt in das Visualisierungs-Dashboard. Dies ermöglichte es dem System, im Laufe der Zeit zu lernen, wie normaler Netzwerkverkehr aussieht. Sobald das System die Baseline der normalen Aktivität verstanden hatte, konnte es automatisch erkennen, wenn das Netzwerk begann, sich seltsam zu verhalten, wie etwa wenn eine Flut von Anfragen den Controller zu überlasten begann.

Um zu sehen, ob ihr System funktionierte, simulierten die Forscher eine spezifische Art von Cyberangriff, bekannt als Distributed Denial of Service (DDoS), bei dem ein Angreifer ein Netzwerk mit so viel Traffic flutet, dass es aufhört zu arbeiten. Sie versuchten auch, eine andere Art von Angriff zu simulieren, der das Fluten von Geräteadressen beinhaltete, mussten diesen speziellen Test jedoch vorzeitig abbrechen, da er zu viel Rechenleistung für ihren Aufbau erforderte. Als sie die Simulation der Traffic-Flut ausführten, arbeitete das System genau wie vorgesehen. Es sammelte und organisierte die Logs sowohl vom Controller als auch von den Switches erfolgreich und zeigte die Aktivitäten auf einem Dashboard an, das klare Spitzen im Datenverkehr aufzeigte. Viel wichtiger war, dass die Komponente des maschinellen Lernens das abnormale Verhalten erkannte. Insgesamt identifizierte das System 47 verschiedene Momente ungewöhnlicher Aktivität während der Simulation. Es sortierte diese Ereignisse dann nach ihrer Gefährlichkeit und klassifizierte 50 Instanzen als kritische oder schwere Bedrohungen und weitere 28 als Warnungen.

Die Ergebnisse zeigen, dass dieser integrierte Ansatz effektiv ein Software-Defined Network überwachen und Angriffe während des Geschehens erkennen kann. Das System erwies sich als fähig, das komplexe Gemisch aus Daten aus verschiedenen Teilen des Netzwerks zu bewältigen und diese in ein klares Bild für Sicherheitsteams zu verwandeln. Die Forscher weisen jedoch vorsichtig darauf hin, dass diese Erkenntnisse aus einer simulierten Umgebung stammen. Während der virtuelle Test kontrolliert und erfolgreich war, ist ein reales Netzwerk weitaus komplexer und unvorhersehbarer. Das System arbeitete gut für die spezifische Art der Traffic-Flut, die sie getestet haben, wurde aber noch nicht gegen eine breitere Palette an hochentwickelten Angriffen oder in einem Live-Produktionsnetzwerk erprobt. Die Forscher beobachteten auch, dass einige Arten von Detektionsaufgaben viel Rechenressourcen fordern können, was auf einen Zielkonflikt zwischen der Tiefe der Überwachung und der Geschwindigkeit des Betriebs hindeutet.

Mit Blick auf die Zukunft plant das Team, ihr System an größeren und komplexeren Netzwerken zu testen, um zu sehen, wie es skaliert. Sie beabsichtigen, fortschrittlichere Modelle der künstlichen Intelligenz einzubinden, um subtilere Bedrohungen zu erfassen und die Fähigkeit des Systems zu erweitern, verschiedene Arten von Angriffen zu erkennen, die gezielt auf Software-Defined Networks ausgerichtet sind. Letztendlich ist ihr Ziel, von einem System, das lediglich Menschen alarmiert, zu einem zu gelangen, das automatisch handeln kann, wie etwa den Verkehr umzuleiten oder ein kompromittiertes Gerät zu isolieren, um das Netzwerk ohne menschliches Eingreifen zu schützen. Für den Moment demonstriert ihre Arbeit einen praktischen Weg nach vorn zur Sicherung der zentralen Gehirne moderner Netzwerke, indem sie eine Flut von verwirrenden Daten in ein klares, handlungsrelevantes Signal verwandelt.