Robustness of automated intrusion responders in software-defined networks to spoofed evidence and responder starvation
Dit artikel evalueert de kwetsbaarheid van geautomatiseerde intrusie-responders in software-gedefinieerde netwerken voor gespoofte bewijslast en responder-uithongering, waarbij wordt aangetoond dat hoewel klassieke responders tegen legitieme hosts kunnen worden ingezet, specifieke verdedigingen zoals ingress-poortbinding en regelbudgetten deze schade effectief kunnen beperken met minimale prestatiekosten.
Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer
Op de digitale snelwegen die onze e-mails, video's en financiële transacties vervoeren, is een nieuw soort verkeersagent opgekomen. Dit zijn geautomatiseerde responders, softwaresystemen die ontworpen zijn om tekenen van problemen te signaleren en verdachte activiteiten onmiddellijk te blokkeren voordat ze schade aanrichten. Ze opereren binnen software-gedefinieerde netwerken, een moderne architectuur waarbij de verkeersregels worden bepaald door een centraal brein in plaats van hardwired in elke router. De belofte is snelheid en precisie: wanneer een dreiging wordt gespot, installeert het systeem een regel om deze te stoppen in milliseconden, veel sneller dan een mens zou kunnen reageren. Deze snelheid rust echter op een cruciale aanname: dat het bewijs dat het systeem ziet, waar is. Als het systeem wordt verteld dat een datapakket afkomstig is van een specifieke computer, gaat het ervan uit dat die computer de bron is. Maar net zoals een persoon een masker kan dragen om zijn gezicht te verbergen, kan een kwaadwillende actor de digitale identiteit van zijn data vervalsen, waardoor het lijkt alsof deze van een heel ander apparaat komt. Dit roept een gevaarlijke vraag op: als de verkeersagent wordt misleid door een masker, zal hij dan de onschuldige voorbijganger stoppen in plaats van de crimineel?
Een team van onderzoekers zette zich scharpe om precies deze kwetsbaarheid te testen. Ze bouwden een gecontroleerde omgeving om te zien wat er gebeurt wanneer een geautomatiseerde verdediger wordt bedrogen door een leugenaar. Hun werk onthult dat deze hogesnelheidssystemen, zonder specifieke waarborgen, tegen de mensen zelf gekeerd kunnen worden die ze juist bedoeld zijn te beschermen. In hun experimenten kon één gecompromitteerde computer, gecontroleerd door een aanvaller, de digitale identiteit vervalsen om het systeem te doen geloven dat een legitieme gebruiker de bron van een aanval was. De geautomatiseerde responder, handelend op basis van deze valse informatie, zou vervolgens een regel installeren om de onschuldige gebruiker te blokkeren. De resultaten waren onomwonden. In één scenario werd een klassieke geautomatiseerde responder misleid om legitiem verkeer te blokkeren in 144 van de 216 pogingen. De schade was disproportioneel; voor elke enkele byte aan data die de aanvaller verstuurde, vernietigde het systeem tot wel 173,8 bytes aan legitiem verkeer. In een andere test werd het systeem misleid om de toegang tot een beschermde dienst te verbreken, waardoor de beschikbaarheid daalde naar slechts 65,8 procent. De aanvaller hoefde niet krachtig te zijn; hij hoefde alleen maar te liegen over wie hij was.
De onderzoekers onderzochten ook een nieuwer, geavanceerder type responder dat gebruikmaakt van een taalmodel, een type kunstmatige intelligentie dat complexe regels kan genereren. Ze ontdekten dat hoewel deze intelligente systemen moeilijker te misleiden waren, ze niet immuun waren. In een klein aantal gevallen werd het taalmodel nog steeds misleid om de verkeerde host te blokkeren. Wat nog zorgwekkender was, was een ander soort falen genaamd 'starvation' (verhongering). De onderzoekers ontdekten dat een aanvaller het systeem bezig kon houden door voortdurend de valse identiteit te veranderen die het gebruikte. Het taalmodel, dat tijd nodig heeft om na te denken en een nieuwe regel te genereren voor elke nieuwe identiteit, raakte overbelast. Het systeem besteedde al zijn tijd aan het verwerken van de valse identiteiten en kwam nooit toe aan het stoppen van een echte aanval die tegelijkertijd plaatsvond. In deze simulaties werd de echte aanval nooit gemitigeerd omdat de responder te druk was met het jagen op spoken.
Om deze problemen op te lossen, testten de onderzoekers vier specifieke verdedigingsmechanismen die ontworpen zijn om het systeem robuuster te maken. De meest effectieve aanpak hield in dat elke regel werd gekoppeld aan de fysieke locatie waar de data het netwerk binnenkwam, in plaats van simpelweg de digitale naam te vertrouwen die eraan vastzat. Als het systeem ziet dat data afkomstig is van een specifieke poort op een switch, blokkeert het alleen die poort, wat ervoor zorgt dat zelfs als de aanvaller liegt over zijn identiteit, hij alleen zichzelf of anderen die dezelfde fysieke verbinding delen, schade kan berokkenen. Ze voegden ook een vereiste toe dat het systeem moet wachten en een dreiging moet bevestigen voordat het handelt, wat voorkwam dat valse alarmen schade aanrichtten. Ten slotte voerden ze een limiet in op het aantal regels dat een enkele bron in een korte tijd kon triggeren, om te voorkomen dat het systeem werd overspoeld door een vloedgolf aan valse identiteiten. Wanneer deze verdedigingen werden gecombineerd, daalde de schade naar bijna nul. Het systeem blokkeerde niet langer onschuldige gebruikers en kon zelfs echte aanvallen afhandelen wanneer een tegenstander probeerde af te leiden. De kosten van deze veiligheid waren minimaal; het voegde slechts ongeveer één seconde toe aan de tijd die nodig was om een echte dreiging te stoppen.
De studie concludeert dat geautomatiseerde beveiligingssystemen niet uitsluitend kunnen vertrouwen op de informatie die aan hen wordt verstrekt. Ze moeten een manier hebben om de bron van die informatie te verifiëren of de schade te beperken als ze worden misleid. De onderzoekers toonden aan dat door te begrijpen hoe een aanvaller het vertrouwen van het systeem in digitale identiteiten kan uitbuiten, zij waarborgen kunnen bouwen die voorkomen dat de verkeersagent de verkeerde persoon arresteert. Hun werk biedt een duidelijk blauwdruk voor het werkelijk betrouwbaar maken van deze geautomatiseerde verdedigers, om ervoor te zorgen dat wanneer het systeem handelt, het het netwerk beschermt in plaats van een wapen te worden voor de criminelen die het juist moet stoppen.
Verdrinkt u in papers in uw vakgebied?
Ontvang dagelijkse digests van de nieuwste papers die bij uw onderzoekswoorden passen — met technische samenvattingen, in uw taal.