Real-Time Anomaly Detection in Software-Defined Networks using an Integrated ELK Stack and Machine Learning Framework

Moderne computernetwerken zijn uitgestrekte, complexe systemen die elke seconde gegevens tussen miljoenen apparaten verplaatsen. Decennialang werden deze netwerken beheerd door individuele hardwareboxen, die elk hun eigen beslissingen namen over waar informatie naartoe gestuurd moest worden. Een nieuwere aanpak, bekend als software-defined networking, verandert dit door de beslissingsbevoegdheid uit de individuele boxen te halen en deze onder te brengen in één enkel centraal computerprogramma, de controller. Deze centrale controller fungeert als het brein van het netwerk, ziet het hele systeem in één oogopslag en stuurt het verkeer met grote flexibiliteit aan. Deze centralisatie creëert echter een nieuw soort risico. Als een aanvaller erin slaagt om dit enkele brein te compromitteren, kunnen ze het hele netwerk verstoren. Omdat de controller zo cruciaal is, hebben beveiligingsteams een manier nodig om deze constant in de gaten te houden, op zoek naar vreemd gedrag op het moment dat het gebeurt. De uitdaging is dat de controller en de apparaten die zij beheert enorme hoeveelheden digitale records, of logs, genereren, die vaak moeilijk te lezen en snel genoeg te analyseren zijn om een aanval tijdens uitvoering te stoppen.

Onderzoekers aan de Chouaib Doukkali Universiteit en de Internationale Universiteit van Rabat hebben een systeem gebouwd dat ontworpen is om dit probleem op te lossen door krachtige loganalyse-instrumenten te combineren met kunstmatige intelligentie. Hun werk richt zich op het creëren van een realtime monitoringsysteem dat een software-defined netwerk kan bewaken, begrijpt wat normaal is, en direct iets ongewoons signaleert. Om hun idee te testen, gebruikten ze geen live, publiek netwerk, wat te gevaarlijk zou zijn om op te experimenteren. In plaats daarvan creëerden ze een virtuele kopie van een netwerk binnen een computer met behulp van een tool genaamd Mininet. Deze virtuele omgeving bevatte een centrale controller en verschillende switches die echte netwerkhardware nabootsen. Vervolgens verbonden ze dit virtuele netwerk met een monitoringsframework dat is gebouwd van open-source software bekend als de ELK-stack. Dit framework werkt als een snelle lopende band voor informatie: het verzamelt de ruwe tekstlogs van de controller en de switches, ruimt ze op, organiseert ze in een doorzoekbaar formaat en toont ze op een scherm voor menselijke operators.

De onderzoekers liepen tegen een specifieke hindernis aan: de logs die afkomstig zijn van de centrale controller en de logs die afkomstig zijn van de netwerkswitches zijn geschreven in verschillende formaten en bevatten verschillende soorten informatie. Om dit aan te pakken, programmeerden ze het systeem om deze twee bronnen verschillend te behandelen. De logs van de centrale controller werden rechtstreeks naar het monitoringsysteem gestuurd, terwijl de logs van de switches eerst door een lokaal hulpprogramma werden verzameld voordat ze werden doorgegeven. Zodra alle gegevens bij het centrale systeem arriveerden, werden ze verwerkt en omgezet in gestructureerde gegevens die een computer gemakkelijk kan begrijpen. Het belangrijkste onderdeel van hun ontwerp was de integratie van machine learning direct in het visualisatiedashboard. Dit stelde het systeem in staat om in de loop van de tijd te leren hoe normaal netwerkverkeer eruitziet. Zodra het systeem de baseline van normale activiteit begreep, kon het automatisch detecteren wanneer het netwerk vreemd begon te gedragen, zoals wanneer een vloedgolf aan verzoeken de controller begon te overbelasten.

Om te zien of hun systeem werkte, simuleerden de onderzoekers een specifief type cyberaanval, bekend als een distributed denial of service, waarbij een aanvaller een netwerk overspoelt met zoveel verkeer dat het stopt met functioneren. Ze probeerden ook een ander type aanval te simuleren waarbij apparatenadressen worden overspoeld, maar ze moesten die specifieke test vroegtijdig stoppen omdat het te veel rekenkracht vereiste voor hun opstelling. Toen ze de simulatie van de verkeersvloed draaiden, presteerde hun systeem precies zoals bedoeld. Het slaagde erin de logs van zowel de controller als de switches te verzamelen en te organiseren, en toonde de activiteit op een dashboard dat duidelijke pieken in het verkeer liet zien. Belangrijker nog, de machine learning-component detecteerde het abnormale gedrag. In totaal identificeerde het systeem 47 afzonderlijke momenten van ongewone activiteit tijdens de simulatie. Het sorteerde deze gebeurtenissen vervolgens op basis van hoe gevaarlijk ze leken, waarbij het 50 instanties als kritieke of belangrijke dreigingen classificeerde en nog eens 28 als waarschuwingen.

De resultaten laten zien dat deze geïntegreerde aanpak effectief een software-defined netwerk kan bewaken en aanvallen kan detecteren terwijl ze plaatsvinden. Het systeem bewees in staat te zijn de complexe mix van gegevens uit verschillende delen van het netwerk te verwerken en deze om te zetten in een duidelijk beeld voor beveiligingsteams. De onderzoekers merken echter voorzichtig op dat deze bevindingen uit een gesimuleerde omgeving komen. Hoewel de virtuele test gecontroleerd en succesvol was, is een echt netwerk in de praktijk veel complexer en onvoorspelbaarder. Het systeem werkte goed voor het specifieke type verkeersvloed dat ze testten, maar het is nog niet bewezen tegen een breder scala aan geavanceerde aanvallen of in een live productienetwerk. De onderzoekers observeerden ook dat sommige typen detectietaken veel rekenkracht vereisen, wat wijst op een afweging tussen hoeveel het systeem controleert en hoe snel het kan draaien.

Vooruitblikkend is het team van plan om hun systeem op grotere en complexere netwerken te testen om te zien hoe het schaalt. Ze zijn van plan om geavanceerdere modellen voor kunstmatige intelligentie te integreren om subtielere dreigingen te vangen en om het vermogen van het systeem uit te breiden om verschillende soorten aanvallen te detecteren die specifiek gericht zijn op software-defined netwerken. Uiteindelijk is hun doel om te bewegen van een systeem dat simpelweg mensen waarschuwt naar een systeem dat automatisch actie kan ondernemen, zoals het omleiden van verkeer of het isoleren van een gecompromitteerd apparaat, om het netwerk zonder menselijke tussenkomst te beschermen. Voor nu demonstreert hun werk een praktische weg voorwaarts voor het beveiligen van de centrale hersenen van moderne netwerken, door een vloedgolf aan verwarrende gegevens om te zetten in een helder, actiegericht signaal.