Utiliser les ressources réseaux pour atténuer les attaques DDoS volumétriques

Using network resources to mitigate volumetric DDoS

• Auteur / Autrice : Pierre-Edouard Fabre
• Direction : Hervé Debar
• Type : Thèse de doctorat
• Discipline(s) : Informatique et réseaux
• Date : Soutenance le 13/12/2018
• Etablissement(s) : Evry, Institut national des télécommunications
• Ecole(s) doctorale(s) : École doctorale Informatique, télécommunications et électronique de Paris (1992-...)
• Partenaire(s) de recherche : Université : Université Pierre et Marie Curie (Paris ; 1971-2017)
• Partenaire(s) de recherche : Laboratoire : Services répartis- Architectures- MOdélisation- Validation- Administration des Réseaux / SAMOVAR - Département Réseaux et Services de Télécommunications / RST
• Jury : Président / Présidente : Bruno Defude
• Jury : Examinateurs / Examinatrices : Guillaume Doyen, Jouni Viinikka
• Jury : Rapporteurs / Rapporteuses : Isabelle Chrisment, Guillaume Urvoy-Keller

Mots clés

Mots clés contrôlés

Attaques par déni de service

MPLS (norme)

Cyberterrorisme

Systèmes informatiques -- Mesures de sûreté

Mots clés libres

Attaque par déni de service volumétrique

Réponse aux attaques

Contrôle des dommages réseaux

Résilience du réseau

Multiprotocol Label Switching

Partage de charge

Liste noire

Surveillance réseau

Volumetric denial of service attacks

Response to attacks

Attacks damage control

Network resilience

Multiprotocol Label Switching

Load-balancing

Blacklist

Network monitoring

Résumé

Les attaques massives par déni de service représentent une menace pour les services Internet. Ils impactent aussi les fournisseurs de service réseau et menace même la stabilité de l’Internet. Il y a donc un besoin pressant de contrôler les dommages causés par ces attaques. De nombreuses recherches ont été menées, mais aucune n’a été capable de combiner le besoin d’atténuation de l’attaque, avec l’obligation de continuité de service et les contraintes réseau. Les contre mesures proposées portent sur l’authentification des clients légitimes, le filtrage du trafic malicieux, une utilisation efficace des interconnections entre les équipements réseaux, ou l’absorption de l’attaque par les ressources disponibles. Dans cette thèse, nous proposons un mécanisme de contrôle de dommages. Basé sur une nouvelle signature d’attaque et les fonctions réseaux du standard Multiprotocol Label Switching (MPLS), nous isolons le trafic malicieux du trafic légitime et appliquons des contraintes sur la transmission du trafic malicieux. Le but est de rejeter suffisamment de trafic d’attaque pour maintenir la stabilité du réseau tout en préservant le trafic légitime. La solution prend en compte des informations sur l’attaque, mais aussi les ressources réseaux. Considérant que les opérateurs réseaux n’ont pas une même visibilité sur leur réseau, nous étudions l’impact de contraintes opérationnelles sur l’efficacité d’une contre mesure régulièrement recommandée, le filtrage par liste noire. Les critères d’évaluation sont le niveau d’information sur l’attaque ainsi que sur le trafic réseau. Nous formulons des scénarios auxquels chaque opérateur peut s’identifier. Nous démontrons que la l’algorithme de génération des listes noires doit être choisi avec précaution afin de maximiser l’efficacité du filtrage

Massive Denial of Service attacks represent a genuine threat for Internet service, but also significantly impact network service providers and even threat the Internet stability. There is a pressing need to control damages caused by such attacks. Numerous works have been carried out, but were unable to combine the need for mitigation, the obligation to provide continuity of service and network constraints. Proposed countermeasures focus on authenticating legitimate traffic, filtering malicious traffic, making better use of interconnection between network equipment or absorbing attack with the help of available resources. In this thesis, we propose a damage control mechanism against volumetric Denial of Services. Based on a novel attack signature and with the help of Multiprotocol Label Switching (MPLS) network functions, we isolate malicious from legitimate traffic. We apply a constraint-based forwarding to malicious traffic. The goal is to discard enough attack traffic to sustain network stability while preserving legitimate traffic. It is not only aware of attack details but also network resource, especially available bandwidth. Following that network operators do not have equal visibility on their network, we also study the impact of operational constraints on the efficiency of a commonly recommended countermeasure, namely blacklist filtering. The operational criteria are the level of information about the attack and about the traffic inside the network. We then formulate scenario which operators can identify with. We demonstrate that the blacklist generation algorithm should be carefully chosen to fit the operator context while maximizing the filtering efficiency