A qualidade do serviço oferecido por Provedores do Serviço de Internet (Internet Service Provider - ISPs) depende diretamente da quantidade de recursos disponíveis naquele momento. Nas últimas décadas, essa qualidade tem sido afetada por frequentes e intensos ataques que consomem tais recursos, como é o caso dos ataques de Negação de Serviço Distribuídos (Distributed Denial of Service - DDoS). Com o objetivo de tornar a rede dos ISPs mais resiliente aos diferentes tipos de ataques DDoS, foram desenvolvidas técnicas contra tais ataques ao longo dos últimos anos. Com o objetivo de contribuir com a melhoria de tais mecanismos, esta dissertação apresenta um método autônomo reativo para detecção e mitigação de ataques DDoS, utilizando um sistema multiagentes (SMA), em redes de ISPs. A propriedade principal do método proposto é identificar padrões de tráfego característicos de um ataque, como um grande fluxo de pacotes direcionados para um serviço ou equipamento, dentro da rede do ISP. Com os agentes posicionados nas prováveis vítimas e nos pontos da rede com maior fluxo de pacotes, o processo de mitigação inicia-se automaticamente após uma quantidade de pacotes, excedente ao tráfego padrão, passar por qualquer um dos nós monitorados. Como o tráfego entrante na rede do ISP é dinâmico, seja ele legítimo ou malicioso, a utilização de agentes tende a facilitar o processo de definição da rota de ataque, conforme mostram os resultados experimentais obtido com o sistema proposto. / The quality of service offered by the Internet Service Provider (ISP) depends directly on the amount of resources available at that time. In recent decades, this quality has been affected by the frequent and intense attacks that consume these resources, such as the Distributed Denial of Service (DDoS) attacks. In order to make the ISPs network more resilient to different types of DDoS attacks, techniques have been developed against such attacks over the past few years. Aiming to contribute to the improvement of such mechanisms, this dissertation presents a reactive autonomous method for detecting and mitigating DDoS attacks using a Multi-Agent system (MAS), in networks of ISPs. The main property of the proposed method is to identify characteristic traffic patterns of an attack, such as a large stream of packets directed to a service or equipment within the ISP network. With agents positioned on likely victims and at points of the network with the highest packet stream, the mitigation process starts automatically after a number of packets exceeding the traffic pattern, go through any of the monitored nodes. Since the incoming traffic on the network of any ISP is dynamic, whether legitimate or malicious, the using of agents tends to facilitate the process of defining the route of attack, as shown by the experimental results obtained with the proposed system.

Šiuo metu yra sukurta nemažai priemonių aptikti įvairiausias DDoS atakas, tačiau siekiant sustabdyti arba bent sušvelninti DDoS atakų poveikį yra nuveikta labai nedaug. Yra labai sunku pasirinkti tinkamą DDoS atakos atrėmimo metodą. DDoS atakų atrėmimo metodų analizė galėtų padėti pasirinkti tinkamiausią metodą. „BGP DDoS Diversion“ atakų atrėmimo metodas yra vienas efektyviausių ir mažiausiai kaštų reikalaujantis metodas. Šis metodas įgyvendinamas panaudojant BGP protokolą. Ataka yra atremiama kuomet BGP protokolo pagalba yra paskelbiama tik dalis tinklo. DDoS atakos duomenų srautas tokiu atveju yra nukreipiamas į paskelbtą tinklo dalį, o kita tinklo dalis lieka nepažeista atakos. Interneto paslaugų teikėjai naudodami „BGP DDoS Diversion“ atrėmimo metodą gali apsaugoti savo tinklą nuo visiško nepasiekiamumo. Šiame tyrime buvo išnagrinėti DDoS atakų atrėmimo metodai. Išsamiai analizei buvo pasirinktas „BGP DDoS Diversion“ atrėmimo metodas. Metodo analizei buvo pasirinkta virtuali terpė. Sudaryti virtualią terpę buvo pasirinkta OPNET tinklų modeliavimo programa. Panaudojant OPNET modeliavimo įrangą, buvo sukurtas virtualus tinklas, veikiantis Interneto tinklo pagrindu. Sukurtame tinkle buvo įgyvendintas „BGP DDoS Diversion“ atakų atrėmimo metodas. Šiame darbe yra pateikta minėto atrėmimo metodo veikimo charakteristikų analizė. / Nowadays there are lot of ways how to detect various types of DDoS attacks, but in order to stop, or at least to mitigate the impact of such DDoS attacks not enough work is done. It is very difficult to choose the right DDoS mitigation method. The research of DDoS attacks mitigation can provide a good manual how to choose the most appropriate method. „BGP DDoS Diversion“ method is one of the most effective and least cost to deliver DDoS mitigation method. This method is implemented using BGP protocol. BGP diversion mechanism is used to announce a specific part of the provider‘s network to (a part of) the Internet. Announcing a specific part of this network will divert the DDoS traffic and thereby prevent other parts of the provider‘s network becoming unreachable. This gives the provider the ability to continue providing services of the rest of his custumers. This research was based on analyzing the DDoS mitigation methods. For the better analyzes the „BGP DDoS Diversion“ method was chosen. To analyze this method the virtual environment was the best way to accomplish this task. OPNET modeler software was chosen to create the virtual environment. Using OPNET the virtual network was created. Virtual network was based on Internet network standards. „BGP DDoS Diversion“ method was implemented and tested in the virtual network. This research provides the detail analyzes of „BGP DDoS Diversion“ method.

Syftet med denna studie är att undersöka och förstå hur säkerhetsöverträdelser kan förhindrasoch mitigeras i ett MQTT protokoll för att öka den överliggande säkerheten. Jag är särskiltintresserad av tekniker såsom Fuzzing, Fuzzy Logic och Machine Learning..För att undersöka syftet, analyserade och diskuterade jag tidigare implementationer avFuzzing, Fuzzy Logic och Machine Learning, i ett MQTT protokoll. Analysen visade attFuzzing ansågs vara en väldigt effektiv metod för att förhindra säkerhetsöverträdelser samtatt både Fuzzy Logic och Machine Learning var effektiva metoder för mitigering.Sammanfattningsvis, kan säkerhetsnivån i ett MQTT protokoll öka genom implementering avmetoder som används i syfte att förhindra och mitigera säkerhetsöverträdelser. Exempelviskan man först använda Fuzzing för att hitta och korrigera sårbarheter och därigenomförhindra dem. Därefter kan man antingen använda sig av Fuzzy Logic eller MachineLearning för att mitigera plötsliga attacker på MQTT protokollet när den är i produktion.Detta betyder att att utvecklaren kan kombinera metoder för att både förhindra och mitigeraöverträdelser i syfte att öka säkerhetsnivån i ett MQTT protokoll.

Distributed Denial of Service attacks is a problem that constantly threatens companies that rely on the internet for major parts of their business. A successful DDoS attack that manages to penetrate a company’s network can lead to devastating damages in the form of lost income, reduced productivity, increase in costs, and damage to the company’s image and reputation. The different DDoS attacks are many and of different character and often Offer different parts of the network, which makes it very difficult to defend against. It is also very clear that DDoS attacks are increasing in both numbers and size every year. From our experiments we have proven that anyone with little knowledge and limited resources can perform DDoS attacks that will make a website unavailable. This fact should cause companies that base their business on the internet, aware that they are likely to someday be subject to a DDoS attack. From our research we have found a variety of different DDoS solutions on the market that promise to offer protection. Many of which claim to protect against all different types of DDoS attacks. In practice it is impossible to find something that guarantees 100% safety. According to earlier research in the field, there are many different ways of protecting a network against DDoS attacks, e.g. via Software Defined Networking, Hop-Count Filtering, or Kill-bots. Our own tests show that a virtual firewall can offer protection against DDoS attacks on a low scale, but that such a solution has a number of weaknesses. If the firewall does protect the website, the attacker could instead shift to attacking the firewall itself. Our research also shows that the most common motives behind DDoS attacks are criminal purposes. Criminals use DDoS attacks to earn money by offering directed DDoS attacks against websites or by trying to blackmail companies into paying a fee for not being attacked. We have also seen that the economic consequence of DDoS attacks are devastating if not handled with a sufficiently fast response. After investigating the e-commerce company CDON.com we learned that they could potentially lose roughly 36 410 SEK per minute when a DDoS attack is underway against them. In today’s business climate it is important for companies to be able to rely on the internet for their activity and for customers to have easy access to the company’s products and services. However, companies’ websites are being attacked and thus these companies need an explicit plan of how to mitigate such attacks. / Distributed Denial of Service (DDoS) attacker är ett problem som ständigt hotar företag, som förlitar sig till internet för centrala delar av sin verksamhet. En DDoS-attack som lyckas penetrerar ett företags nätverk kan medföra förödande skador i form av förlorade intäkter, minskad produktivitet, ökade kostnader samt skada på företagets rykte/varumärke. DDoS-attackerna är många och av olika karaktär, som attackerar olika delar av ett företags nätverk, vilket leder till att det är svårt att effektivt skydda sig mot DDoS-attacker. Det står också klart att DDoS-attacker ökar både till antalet och storleksmässigt för varje år som går. Utifrån våra egna experiment har vi kunnat bevisa att vem som helst med små medel och begränsade kunskaper kan utföra en DDoS-attack som sänker en webbsida. Ett faktum som gör att alla företag vars verksamhet är baserad på internet bör räkna med att de någon gång bli utsatta för en DDoS-attack. Utifrån våra undersökningar kan vi se att det finns en uppsjö av olika DDoS-skydd på marknaden, skydd som hanterar några problem som DDoS-attacker medför, men det finns inga kompletta skydd som kan garantera 100 % säkerhet. Utifrån tidigare forskning på området framgår det att det finns många olika sätt att skydda sig mot DDoS-attacker, t.ex. genom Software Defined Networks, Hop-Count Filtering eller Kill-bots. Våra egna tester visar på att en virtuell brandvägg kan vara ett sätt att skydda sig mot DDoS-attacker, men testerna visar också att en sådan lösning inte heller är säker då man kan förstöra åtkomsten till webbsidan genom att överbelasta brandväggen.<p> Undersökningen visar också att ett av de vanligaste motiven bakom DDoS-attacker är kriminella ändamål. Kriminella som använder DDoS-attacker för att tjäna pengar genom att erbjuda riktade DDoS-attacker mot websidor eller genom försök att utpressa till betalning med DDoS-attacker som ett hot. Vi har kommit fram till att de ekonomiska konsekvenserna av DDoS-attacker kan vara ödestigna för företag om det inte hanteras i tid. Genom våra egna beräkningar har vi visat att e-handelsföretaget CDON.com riskerar att förlora ca 36 415,90 kr per minut som en DDoS-attack pågår mot företaget. Anledningen till av vi valt att ägnad denna uppsats åt DDoS-problemet, är den skrämmande ökningen av DDoS-attacker som man kan se sker årligen. Attackerna blir flera, de ökar storleksmässigt och de blir allt mer sofistikerade. Attackerna utförs också tillsynes omotiverat i vissa fall, men också välplanerade attacker utförs för att skada företag ekonomiskt. I dagens företagsklimat är det viktigt att företaget har möjlighet att använda sig av internet för att driva verksamheten och göra det enkelt för kunder att ta del av företagets produkter/tjänster. Att företags webbsidor blir utslagen på grund av en DDoS-attacker är idag en verklighet, och en tydlig plan för att hur man ska hantera en sådan incident bör finns på plats inom företag.

No / Traffic anomalies caused by Distributed Denial-of-Service (DDoS) attacks are major threats to both network service providers and legitimate customers. The DDoS attacks regularly consume and exhaust the resources of victims and hence result in abnormal bursty traffic through end-user systems. Additionally, malicious traffic aggregated into normal traffic often show dramatic changes in the traffic nature and statistical features. This study focuses on early detection of traffic anomalies caused by DDoS attacks in light of analyzing the network traffic behavior. Key statistical features including variance, autocorrelation, and self-similarity are employed to characterize the network traffic. Further, artificial neural network and support vector machine subject to the performance metrics are employed to predict and classify the abnormal traffic. The proposed diagnosis mechanism is validated through experiments where the datasets consist of two groups. The first group is the Massachusetts Institute of Technology Lincoln Laboratory dataset containing labeled DoS attack. The second group collected from DDoS attack simulation experiments covers three representative traffic shapes resulting from the dynamic attack rate configuration, namely, constant intensity, ramp-up behavior, and pulsing behavior. The experimental results demonstrate that the developed mechanism can effectively and precisely alert the abnormal traffic within short response period.

The Hadoop framework has become the most deployed platform for processing Big Data. Despite its advantages, Hadoop s infrastructure is still deployed within the secured network perimeter because the framework lacks adequate inherent security mechanisms against various security threats. However, this approach is not sufficient for providing adequate security layer against attacks such as Distributed Denial of Service. Furthermore, current work to secure Hadoop s infrastructure against DDoS attacks is unable to provide a distributed node-level detection mechanism. This thesis presents a software agent-based framework that allows distributed, real-time intelligent monitoring and detection of DDoS attack at Hadoop s node-level. The agent s cognitive system is ingrained with cumulative sum statistical technique to analyse network utilisation and average server load and detect attacks from these measurements. The framework is a multi-agent architecture with transducer agents that interface with each Hadoop node to provide real-time detection mechanism. Moreover, the agents contextualise their beliefs by training themselves with the contextual information of each node and monitor the activities of the node to differentiate between normal and anomalous behaviours. In the experiments, the framework was exposed to TCP SYN and UDP flooding attacks during a legitimate MapReduce job on the Hadoop testbed. The experimental results were evaluated regarding performance metrics such as false-positive ratio, false-negative ratio and response time to attack. The results show that UDP and TCP SYN flooding attacks can be detected and confirmed on multiple nodes in nineteen seconds with 5.56% false-positive ration, 7.70% false-negative ratio and 91.5% success rate of detection. The results represent an improvement compared to the state-of the-art.

In the wake of the cyber-attacks in 2007 against Estonia and in 2010 against Iran, academics have debated the character of cyberwar. This study applies the theories of coercive diplomacy to the cases of Estonia and Iran in order to explain cyber-attacks as instrument for coercive diplomacy. While the long term effects of the attacks have yet to be understood it is clear that cyber-attacks can, and will, become a serious threat against political decision-makers in times of conflict.

<p>Användandet av Internet ökar varje år och företag blir i takt med detta mer och mer beroende av att kunna erbjuda sina kunder tjänster här. Ett hot mot dessa tjänster är den distribuerade belastningsattacken. En belastningsattacks mål är att göra en server på Internet otillgänglig för vanliga användare genom att antingen överbelasta den med stora mängder data för att skada serverns bandbredd eller att göra ett stort antal uppkopplingsförfrågningar för att skada serverns kapacitet att behandla meddelanden. Vid en distribuerad belastningsattack använder en angripare sig av många datorer på Internet vilka inte är dennes egna för att göra sin attack mycket starkare. Målet med detta projekt har varit att klassificera och utvärdera skyddsmetoder mot detta med avseende på faktorerna kostnad samt effektivitet. Resultatet visar att den mest kostnadseffektiva skyddsmetoden är klassbaserad köbildning.</p>

Submitted by Maike Costa (maiksebas@gmail.com) on 2017-07-03T12:45:22Z No. of bitstreams: 1 arquivototal.pdf: 4171683 bytes, checksum: 4ac16c84db0389c70cded97b96f0569b (MD5) / Made available in DSpace on 2017-07-03T12:45:23Z (GMT). No. of bitstreams: 1 arquivototal.pdf: 4171683 bytes, checksum: 4ac16c84db0389c70cded97b96f0569b (MD5) Previous issue date: 2017-02-20 / Coordenação de Aperfeiçoamento de Pessoal de Nível Superior - CAPES / Similar to others IP network based services, VoIP applications are quite vulnerable to dangerous distributed denial of service attacks (DDoS). Commonly, these attacks had been carried out by sending numerous requests to a SIP server (SIP flooding) in order to overload it. Although still harmful, such attacks can be easily identified by defenses that detect sudden changes in the network traffic volume. Most recent attacks, classified as Low-Rate, have bypassed such defense mechanisms attacking applications by generating traffic very similar to normal client traffic rendering such monitoring defenses ineffective. In a new form of DDoS attack called Telephony Denial of Service (TDoS), attacker has been using malicious calls to prevent legitimate clients to receive or to make calls. An example of a Low-Rate TDoS attack is the Coordinated Call Attack, where attackers simply make calls to each other to exhaust the target VoIP server’s resources. An efficient selective defense against Low-Rate attacks exploiting the HTTP protocol is the tool SeVen. This work demonstrates that selective strategies can also be successfully used to mitigate TDoS attacks, in particular, the Coordinated Call Attack. The contributions of this work are three-fold: (1) A selective strategy suitable for VoIP applications; (2) Formulating the defense in the Maude tool and conducting simulations using statistical model checker (PVeStA); (3) Experimental results show that without defense, less than 41% of users have access to the target VoIP service, whereas with the selective defense, availability is around 98%. / Assim como outros serviços baseados em redes IP, aplicações VoIP estão vulneráveis aos perigosos ataques distribuídos de negação de serviço (DDoS). Comumente, esses ataques eram efetuados enviando inúmeras requisições a um servidor SIP (SIP flooding), de modo a sobrecarregá-lo. Embora bastante prejudiciais, tais ataques podem ser facilmente identificados por defesas que detectam mudanças abruptas no volume de tráfego da rede. Ataques mais recentes, classificados como Low-Rate, conseguem sobrepujar essas defesas, atacando aplicações e gerando tráfego bastante similar ao de clientes normais, tornando tais defesas ineficazes. Em uma nova forma de DDoS denominada Negação de Serviço de Telefonia (TDoS - Telephony Denial of Service), atacantes vem fazendo uso de chamadas maliciosas para impedir que clientes legítimos consigam receber ou realizar chamadas. Um exemplo de TDoS Low-Rate é o Coordinated Call Attack, onde atacantes simplesmente realizam chamadas entre si para esgotar os recursos do servidor VoIP alvo. Uma defesa seletiva eficiente contra ataques Low Rate que exploram o protocolo HTTP é a ferramenta SeVen. O presente trabalho demonstra que estratégias seletivas também podem ser usadas com sucesso para mitigar ataques TDoS, em particular, o Coordinated Call Attack. As contribuições deste trabalho são de três tipos: (1) Uma defesa seletiva adequada para aplicações VoIP; (2) A Formalização da defesa na ferramenta Maude e condução de simulações usando um verificador estatístico de modelos (PVeStA); (3) Resultados experimentais mostram que sem defesa, menos de 41% dos usuários conseguem acessar o serviço VoIP alvo, enquanto que com a defesa seletiva, a disponibilidade fica em torno de 98%.

Dagen samhälle är sårbarare än man ibland kan ana. Överbelastningsattacker är attacker mot ett specifikt nätverk, och syftet är att göra dess tjänster otillgängliga för legitima användare. Detta är något som sker varje dag mot företag runtom i världen, och inte minst i Sverige. Media har på senare tid uppmärksammat problemet sedan det blivit allt vanligare och vanligare bland företagen. Syftet med detta arbete är dels att få bättre förståelse om överbelastningsattacker är något som prioriteras eller inte, men även att få företagen uppmärksammade på vilka olika skydd som finns att tillgå mot överbelastningsattacker, samt att vi vill få företagen att verkligen tänka på vilka hot som finns där ute. Vårt mål med denna uppsats är att ta reda på vilka befintliga skydd företag i Sverige använder sig utav för tillfället samt vilka skydd de kan och bör använda sig utav. För att nå detta mål har vi genomfört kvalitativa intervjuer med företag som bedriver en stor del av sin försäljning, eller tillhandahållande av tjänster, över Internet. Detta har gjort att vi kommit fram till att företagen visserligen visst har skydd mot överbelastningsattacker och använder sig utav dem, men bör också se till vilka andra skydd som finns tillgängliga för dem och kan fungera bättre för just dem. Det finns som sagt bra skydd mot överbelastningsattacker, men det gäller att veta hur de fungerar och att använda dem på rätt sätt för att kunna utnyttja dem ordentligt. Vi tror, och hoppas, att detta arbete kommer att kunna hjälpa företagen i framtiden att lättare kunna stå emot överbelastningsattacker, och det är våran förhoppning att denna uppsats kommer att komma till nytta och tjäna sitt syfte. / Mattias Harneman Folkparksvägen 10:07 372 38 Ronneby Mobil: +46 709 60 33 44 E-post: mahf01@student.bth.se ICQ nr: 37440564