DADDi Réunion de travail 11 octobre 2007 : Analyse des données brutes fournies par Supélec

Objectifs Test et comparaison des outils de formatage de développés par CRIL et ENST-Bretagne Analyse et vérification des données « a priori » normales fournies par Supélec-Rennes

Outil de formatage développé au CRIL …… …… …… Trafic réseau brut (on-line ou off-line) Formatage Connexions Formatage 1.098,tcp,smtp,SF,1676,333,0,0,0,0,0,1, ,udp,private,SF,105,146,0,0,0,0, ,tcp,http,SF,298,321,0,0,0,0,0,1,... Détection Normal DoS Normal U2R Apprentissage Détection Normal DoS Normal U2R Apprentissage

Outil de formatage développé au CRIL Trafic brut Off-line On-line Enrichies Complètes Incomplètes Complètes Incomplètes Non enrichies Enrichies Non enrichies Enrichies Non enrichies Enrichies Non enrichies

Récapitulatif des données brutes fournies par Supélec Nature : Données «a priori» normales + attaques http Durée : 18 jours de trafic Taille : 100 Go IP proto : TCP, UDP, ICMP Services: http, ssh, ftp, auth, DNS, … Net Adr: Capture filter:

Récapitulatif des données brutes fournies par Supélec Protocoles IP

Récapitulatif des données brutes fournies par Supélec Services

Formatage de données brutes de Supélec Données brutes: Formatage de 30 % (30 premiers fichiers..) des données brutes de Supélec Attributs construits : 41 attributs KDD99 Données formatées obtenues: connexions

Expérimentations Apprentissage : KDD99 (Darpa98 formatée), Darpa99, Données a priori normale de Supélec Test: Données a priori normale de Supélec, attaque http de Supélec Formatage: Outil de formatage développé par CRIL Classificateur: Arbre de décision C4.5 Vérification: Snort-2.8.0

Expérimentations (1) 1. Détection dattaques dans les données « a priori normales » de Supélec 1.a) Apprentissage sur KDD99 => Test sur données formatées Supélec 1.b) Apprentissage sur données formatées Darpa99 => Test sur données formatés Supélec

Expérimentations (2) 2. Détection dattaques dans les attaques http fournies par Supélec Apprentissage sur trafic http de KDD99, Darpa99, http normal de Supélec => Test sur les attaques http de Supélec

Expérimentations (1.a) Training: KDD99 Testing: Données Supélec

Expérimentations (1.b) Training: Darpa99 Testing: Données Supélec

Expérimentation 1.a & 1.b Majorité du trafic classé « normal » Majorité des attaques détectées: Scan & DoS Majorité des attaques externes Quelques attaques R2L & U2R détectées (probablement faux positifs) Fausses alertes dues à la différences du trafic dapprentissage et celui du test (distribution des services, débits réseaux, etc.)

Expérimentation 1.a & 1.b Exemples dattaques détectées TimestampCatégorieVictimeAttaquant May 26, :38:43 Scan (ipsweep) May 25, :11:13.56 Scan (portsweep) May 25, :58:03 DoS ….

Vérification avec Snort Les données utilisées dans les expérimentations 1 & 2 ont été analysées avec Snort Snort a généré en moyenne 4000 alertes par jours Attaques détectées: Slammer, ICMP PING NMAP, …

Vérification avec Snort Exemples dalertes générées par Snort 05/28-10:23: ,1,2004,7,MS-SQL Worm propagation attempt OUTBOUND,UDP, 05/27-21:12: ,1,469,4,ICMP PING NMAP,ICMP, 05/28-01:49: ,122,3,0,(portscan) TCP Portsweep,, , 05/26-16:48: ,1,1149,13,WEB-CGI count.cgi access,TCP,...

Vérification avec Snort Résumé des alertes générées durant les 10 premiers jours (log1 à log10)

Expérimentation (2) Training: Uniquement les connexions http (normale+attaques) de KDD99, Darpa99 et trafic http normal de Supélec Test: Attaques http de Supélec

Expérimentation (2) Quatre connexions sont détectées attaque back (de type DoS) (Src_bytes>4 Ko) Deux connexions (il sagit de lattaque login-http) ont été détectées land: IP src = IP dst (sauf que cest ladresse loopback) => La simulation de lattaque sest faite sur la même machine.

Expérimentation (2) AttaqueNormal bibtexRawHTTPX cross-httpX execute-httpX login-httpX write-fs-http3X

Conclusions Données brutes de Supélec Le trafic brute de Supélec nest pas totalement normal: il contient certainement plusieurs attaques bénignes, et probablement des attaques dangereuses… Certaines attaques anciennes existent encore … Outil de formatage: Résultats encourageants mais Le formatage doit tenir compte des débits réseaux pour réduire le taux de faux positifs (nécessité dutiliser des données dapprentissage récentes) Il est nécessaire denrichir lensemble des attributs pour détecter les nouvelles attaques