ChamaleoNet: Programmable Passive Probe for Enhanced Visibility on Erroneous Traffic

Resumo Técnico: CHAMALEONET

Definição do Problema
O monitoramento de rede é essencial para a segurança e gestão, mas as soluções existentes têm dificuldade em fornecer visibilidade abrangente sobre o "tráfego errôneo" — pacotes que falham ao receber uma resposta válida ou que geram mensagens de erro. As abordagens tradicionais apresentam limitações significativas:

• Telescópios de Rede (Network Telescopes): Embora eficazes na captura de tráfego não solicitado direcionado a sub-redes de IPs não utilizados ("dark" subnets), eles não conseguem monitorar espaços de endereçamento ativos, perdendo o tráfego errôneo direcionado a hosts ativos ou gerado por hosts internos (erros de saída). Além disso, exigem a dedicação de um precioso espaço de endereçamento IP exclusivamente para o monitoramento.
• Registradores de Fluxo (Flow Loggers): Fornecem resumos estatísticos de tráfego ao vivo, mas frequentemente carecem da granularidade necessária para distinguir fluxos errôneos de fluxos benignos, dependendo frequentemente de amostragem que perde eventos de erro específicos.
• Sistemas de Detecção/Prevenção de Intrusão (IDPS): Baseiam-se em assinaturas conhecidas ou regras predefinidas. Frequentemente falham em detectar tráfego errôneo que não corresponde a padrões de ataque conhecidos e enfrentam dificuldades com a escalabilidade necessária para o registro em massa de pacotes brutos.

O artigo argumenta que nenhum sistema existente satisfaz conjuntamente três requisitos fundamentais: Completude (cobertura total do tráfego errôneo, incluindo erros de tempo de execução), Transparência (operação em espaço de endereçamento vivo sem sub-redes escuras dedicadas) e Minimização de Dados (foco apenas no tráfego relevante para cumprir regulamentações de privacidade).

Metodologia e Design do Sistema
Os autores propõem o CHAMALEONET, uma sonda passiva programável que transforma qualquer rede de produção em um monitor transparente para tráfego errôneo. O sistema aproveita o paradigma de Redes Definidas por Software (SDN) e switches programáveis (especificamente ASICs habilitados para P4) para separar o plano de dados do plano de controle.

• Arquitetura: O CHAMALEONET opera em uma implantação fora do caminho (out-of-path), espelhando o tráfego de entrada e saída da borda da rede para um switch SDN.
• Função de Rede de Detecção de Estado de Fluxo (FSD-NF): Este componente central determina se um fluxo é benigno ou errôneo. Quando um pacote chega e não corresponde a regras existentes, ele é tratado como "suspeito" e armazenado em buffer. O sistema aguarda um tempo de espera de Detecção (DT timeout) definido.
  • Se uma resposta chegar dentro do tempo de espera, o fluxo é considerado benigno (serviço ativo). O sistema instala uma regra para descartar pacotes subsequentes deste fluxo no switch, evitando que cheguem ao controlador ou coletores.
  • Se o tempo de espera expirar sem uma resposta, o pacote é classificado como errôneo e encaminhado para sensores de cibersegurança de backend (coletores ou impostores ativos).
• Gerenciamento de Regras de Canal Duplo: Para lidar com a escalabilidade, o CHAMALEONET utiliza uma estratégia de filtragem de dois níveis:
  1. Caminho Rápido (Filtros de Bloom): Fluxos benignos transitórios são filtrados usando Filtros de Bloom (BFs) diretamente no plano de dados do switch. Isso permite a instalação rápida de regras sem envolvimento do plano de controle. Os BFs são rotacionados periodicamente para lidar com entradas obsoletas.
  2. Caminho Lento (Tabelas de Correspondência-Ação): Fluxos benignos estáveis e de longa duração são promovidos a regras de correspondência exata nas Tabelas de Correspondência-Ação (MATs) do switch via controlador SDN.
• Privacidade e Anonimização: Para cumprir regulamentações como o GDPR, o sistema implementa a anonimização de tráfego diretamente no pipeline P4. Isso inclui a ofuscação de endereços IP internos via operações XOR e a truncagem de payloads da Camada 4 para remover dados sensíveis de aplicação antes de encaminhar os pacotes errôneos aos coletores.
• Engajamento Ativo: O sistema pode, opcionalmente, atuar como um impostor, respondendo a requisições recebidas em nome de hosts ou serviços inativos para interagir com scanners e analisar sua intenção.

Principais Contribuições

1. Conceitualização do Tráfego Erôneo: O artigo define o tráfego errôneo como uma categoria distinta de dados de rede (requisições não respondidas, mensagens de erro) e projeta um sistema especificamente voltado para a coleta deste.
2. Implementação Baseada em SDN: Os autores implementam o CHAMALEONET sobre princípios SDN para filtrar, anonimizar e direcionar o tráfego de forma transparente. Ao descarregar a filtragem de tráfego benigno para o switch, o sistema reduz a carga no controlador em 90%.
3. Visibilidade Aprimorada: O sistema fornece visibilidade tanto para a radiação externa da Internet (erros de entrada) quanto para a saúde interna da rede (erros de saída), identificando hosts mal configurados, sistemas infectados e anomalias de roteamento que os telescópios tradicionais perdem.
4. Liberação de Código Aberto: Os autores oferecem o sistema como código aberto para a comunidade.

Resultos e Avaliação
O sistema foi implantado em uma rede de campus universitário por mais de oito meses, monitorando um link de 20 Gbps e 34.304 endereços IPv4 internos.

• Redução de Tráfego: A filtragem baseada em hardware suprimiu com sucesso mais de 90% do tráfego, com o FSD-NF processando apenas os 10% restantes (fluxos errôneos).
• Ganhos de Visibilidade: Comparado a um telescópio tradicional de sub-rede escura /23, o CHAMALEONET observou:
  • 3,2× mais Sistemas Autônomos (AS) únicos.
  • 2,4× mais remetentes de IP externos únicos.
  • 1,3× mais scanners reconhecidos.
  • Padrões de varredura significativamente mais agressivos, com alguns destinos recebendo até 14× mais pacotes e uma cobertura de portas mais ampla.
• Insights Operacionais: Os dados coletados revelaram:
  • Ameaças Externas: Identificação de ataques de amplificação NTP, varredura da botnet Satori e anomalias de roteamento (ex: mensagens ICMP Time Exceeded indicando destinos em blackhole).
  • Problemas Internos: Detecção de resolvedores DNS internos mal configurados contatando servidores autoritativos não responsivos, hosts internos tentando conectar-se a repositórios desativados e ferramentas de aceleração de DNS causando erros de porta inalcançável ICMP.
• Desempenho: Em experimentos controlados, o sistema alcançou um throughput de pico de 2,85 Mpps com seis threads. O uso de Filtros de Bloom efetivamente limitou o uso de TCAM (mantendo-o abaixo de 2,8% da capacidade), mantendo uma Baixa Taxa de Falsos Negativos (FNR) de aproximadamente 5% sob condições de rotatividade adversária.

Significância
O artigo afirma que o CHAMALEONET representa um avanço significativo ao transformar qualquer rede de produção viva em um monitor flexível e transparente para tráfego errôneo, sem exigir espaço de endereçamento IP dedicado. Ele preenche a lacuna entre telescópios passivos e monitores de fluxo ativos, oferecendo uma solução escalável e em conformidade com a privacidade que revela tanto atividades de varredura externas quanto falhas operacionais internas. Ao aproveitar planos de dados programáveis, o sistema alcança alta escalabilidade enquanto adere a princípios rigorosos de minimização de dados, fornecendo aos administradores de rede insights acionáveis sobre a saúde da rede e ameaças de segurança que anteriormente eram invisíveis ou custosas demais para monitorar.