Davranışsal Temel Ölçüm ve Makine Öğrenmeli Tespit

İmza tespiti düşmanca olanı tarif eder ve tarif edilmemiş hiçbir şeyi göremez. Eşik tespiti çok olanı tarif eder ve az olanı göremez.

Davranışsal tespit üçüncü bir yol izler: normali tarif eder, ve ondan sapan her şeyi işaretler. Bu, neyin saldırdığını bilmeden yeni bir vektörü yakalayabilmesi demektir.

Kısaca

Cihaz	Ölçülen özellik	Neyi ele veriyor	Meşru varyasyonu
Paket boyu dağılımı	Küçük paketli seller	Trafik karışımı değiştiğinde kayar
SYN-ACK oranı	Tamamlanmayan el sıkışmalar	Mobil ağlarda doğal olarak yüksek
Kaynak yayılımı	Ani dağıtık kaynak artışı	Kampanya ve haber trafiği aynı biçimi üretir
İstek tamamlanma oranı	Arka ucu tüketen uygulama katmanı saldırıları	Yavaş bir bağımlılık aynı düşüşü üretir
Protokol karışımı	Yeni bir vektörün belirmesi	Yeni bir servis devreye alındığında değişir

Sağdaki sütun bu tekniğin bütün zorluğu. Her sinyalin meşru bir sebebi de var, ve tespit kalitesi tek bir özelliğe değil özelliklerin birlikte hareketine bakmaktan geliyor.

Neyi ölçüyor

Yalnız hacmi değil. İşe yarar bir gerçekleme, aynı anda çok sayıda özelliği takip eder ve bunların birlikte nasıl hareket ettiğine bakar.

Tipik olarak ölçülenler: paket boyu dağılımı, protokol ve port karışımı, SYN-ACK oranı, tamamlanan istek oranı, oturum süresi dağılımı, kaynakların coğrafi ve ağ yayılımı, ve bunların günün saatine ve haftanın gününe göre değişimi.

Tek başına hiçbiri yeterli değildir. Bir kampanya açılışı kaynak yayılımını yükseltir, ve bir saldırı da yükseltir. Ayırt edici olan şey, diğer özelliklerin aynı anda ne yaptığıdır: gerçek kullanıcılar geldiğinde tamamlanan istek oranı korunur, saldırı geldiğinde düşer.

Öğrenme penceresi

Temel, bir dönem boyunca gözlemlenerek kurulur, ve o dönemin uzunluğu tespitin kalitesini doğrudan belirler.

Bir günlük pencere, günün saatlerini öğrenir ve haftanın günlerini öğrenmez. Bir haftalık pencere hafta sonunu öğrenir ve ay sonunu öğrenmez. Kurumların çoğu için anlamlı en kısa pencere birkaç haftadır, ve bir yıllık örüntüsü olan kurumlar için daha uzundur.

Bu süre boyunca ürünün ne yaptığı sorulmaya değer bir sorudur. Temkinli varsayılanlarla çalışan bir ürün, o pencerede meşru trafiği reddedebilir. Geçirgen çalışan bir ürün, o pencerede korumasızdır. İkisi de meşru tasarım kararıdır ve hangisinin geçerli olduğunu bilmek gerekir.

İki zayıflık

Eğitim verisini miras alır. Bir şey zaten yanlışken öğrenilmiş bir temel, o yanlışı normal olarak kodlar. Süregelen düşük seviyeli bir saldırı sırasında devreye alınan bir sistem, o saldırıyı normal sayar ve bir daha görmez.

Bunun pratik sonucu bir kurulum kuralıdır: devreye almadan önce trafiğin olağan olduğunu doğrulayın, ve pencerede olağandışı bir şey olduysa temeli sıfırlayın.

Uzun kuyruk hem anormal hem meşrudur. Davranışsal sistemler çoğunluktan öğrenir. Eski TLS yığınları, gömülü istemciler, tek adres arkasındaki büyük bir iş ortağı, birinin yıllar önce yazdığı bir entegrasyon — hepsi normalden sapar ve hepsi gerçektir.

Yanlış pozitiflerin yoğunlaştığı yer burasıdır, ve yanlış pozitif testinin bilerek o kuyruğa nişan alması gerekmesinin sebebi budur.

Neye karşı işe yarıyor

Daha önce görülmemiş vektörlere karşı, ki tek başına bu onu değerli kılar. Yeni bir saldırının bile sizin olağan trafiğinizden bir ölçülebilir açıdan farklı olması gerekir.

Ayrıca eşiklerin altında kalan saldırılara karşı da işe yarar: hacim düşük olsa bile biçim farklıysa görünür.

Neye karşı işe yaramıyor

Olağan trafiğe her ölçülebilir açıdan benzeyen saldırılara karşı. Gerçek tarayıcılardan gelen ve gerçek kullanıcı davranışını taklit eden bir uygulama katmanı seli, yeterince yavaş yürütülürse görünmez.

Ayrıca yavaş tırmanışa karşı zayıftır: yeterince kademeli yükselen bir saldırı temeli kendisiyle birlikte taşıyabilir.

Operasyonel risk

Devreye alma penceresi. Yukarıda anlatıldı ve en yaygın kurulum hatasıdır.

Kurum değiştiğinde. Yeni bir servis, yeni bir bölge ya da yeni bir istemci topluluğu temeli geçersiz kılar. Yeniden öğrenme süresi boyunca tespit güvenilmezdir, ve büyük değişikliklerin takvimlenmesi gereken sebeplerden biri budur.

Açıklanabilirlik. Bir davranışsal karar, bir imza eşleşmesi gibi tek bir sebebe indirgenemez. Operatörün baskı altında “niçin bu düşürüldü” sorusunu cevaplayabilmesi, ürünün bunu ne kadar gösterdiğine bağlıdır.

Yanlış pozitif riski

Bu alandaki en yüksek risklerden biri, ve riskin çoğu uzun kuyrukta. Ölçüm disiplini ve nişan alınacak kaynaklar yanlış pozitif testi sayfasında.

Bir de geri besleme tuzağı var: davranışsal bir sistem meşru trafiği reddettiğinde grafikte gördüğünüz şey, saldırının işe yaradığı görüntüsüdür. Doğru tepki gibi görünen şey eşikleri sıkmaktır, ve o sıkma sorunu büyütür.

Ne zaman başka bir şey daha iyi

İmza, saldırı bilinen ve yapısal bir örüntü taşıyorsa. Daha ucuz ve daha kesin.

Eşik, saldırı basitçe çok fazlaysa. Daha öngörülebilir ve denetlenebilir.

Uygulama düzeyi denetim, saldırı ağdan ayırt edilemiyorsa.

Pratikte üçü de birlikte çalışır, ve sıralama tespit yöntemleri karşılaştırmasında işleniyor.

İhtiyaç duymadan önce nasıl doğrulanır

1. Ürünün hangi özellikleri ölçtüğünü ve öğrenme penceresini adıyla isteyin.
2. Devreye almadan önce trafiğin olağan olduğunu doğrulayın.
3. Öğrenme penceresi boyunca hangi davranışın geçerli olduğunu öğrenin.
4. Temel kurulduktan sonra, uzun kuyruktan bilinen meşru kaynaklarla test edin.
5. Bir operatörün bir kararı saniyeler içinde ezip geri alabildiğini doğrulayın.