UNIVERSIDAD DE LA HABANA
Anuncio
Facultad de Ingeniería Eléctrica Departamento de Electrónica y Telecomunicaciones TRABAJO DE DIPLOMA Aplicación de un sistema de detección de anomalía basado en el modelo de allanamiento exponencial. Autor: Raulier Yedian Morell Kin Tutor: Dr. Vitalio Alfonso Reguera Santa Clara 2008 “Año 50 de la Revolución” Universidad Central “Marta Abreu” de Las Villas Facultad de Ingeniería Eléctrica Departamento de Electrónica y Telecomunicaciones TRABAJO DE DIPLOMA Aplicación de un sistema de detección de anomalía basado en modelo de allanamiento exponencial. Autor: Raulier Yedian Morell Kin E-mail: [email protected] Tutor: Dr. Vitalio Alfonso Reguera Profesor, Dpto de Electrónica y Telecomunicaciones E-mail: [email protected] Santa Clara 2008 "Año 50 de la Revolución" Hago constar que el presente trabajo de diploma fue realizado en la Universidad Central “Marta Abreu” de Las Villas como parte de la culminación de estudios de la especialidad de Ingeniería en Telecomunicaciones y Electrónica, autorizando a que el mismo sea utilizado por la Institución, para los fines que estime conveniente, tanto de forma parcial como total y que además no podrá ser presentado en eventos, ni publicados sin autorización de la Universidad. Firma del Autor Los abajo firmantes certificamos que el presente trabajo ha sido realizado según acuerdo de la dirección de nuestro centro y el mismo cumple con los requisitos que debe tener un trabajo de esta envergadura referido a la temática señalada. Firma del Tutor Firma del Jefe de Departamento donde se defiende el trabajo Firma del Responsable de Información Científico-Técnica i PENSAMIENTO El deseo de hacer realidad un sueño es lo que torna la vida interesante. Pablo Coelho ii DEDICATORIA A mis padres por sus sacrificios y confianza. A mis hermanos por crecer a mi lado. A mi novia y ahijado, como inspiración en la vida. iii AGRADECIMIENTOS A Dios por haberme dado la posibilidad de llegar hasta aquí. A mi tutor Vitalio Alfonso Reguera por su tiempo. A mis padrinos casi padres J. Carlos y Miriam. A mis suegros Rebeca y Nilo. A los viejos, Pedro, Yany y Dayneris por estar conmigo en aquellos momentos difíciles. A Ochoa, Carolina, Dariel, Elaine y Giselle. A mis ex compañeros de cuarto Rubén, Halder y Erisdel. A mis compañeros de aula. Y a todos aquellos que de una forma u otra aportaron su granito de arena, sencillamente decir, Muchas Gracias. iv TAREA TÉCNICA 1. Buscar información relacionada con la medición de tráfico y la detección de anomalías. 2. Estudiar la documentación de la herramienta RRDtool y manuales del lenguaje de programación Perl Script. 3. Instalar y configurar un sistema piloto de monitoreo de tráfico utilizando la herramienta RRDtool, que nos permita almacenar datos seleccionadas a partir de las MIB de los router. 4. Seleccionar los algoritmos a utilizar para la detección de anomalías. 5. Programar los algoritmos para la detección de anomalías de manera que funcionen de forma integrada con la aplicaciones de monitoreo de tráfico. 6. Validar el desempeño de la propuesta. Firma del Autor Firma del Tutor v RESUMEN El presente trabajo contiene una aplicación del modelo de allanamiento exponencial, con la ayuda del lenguaje de programación Perl Script, para crear un sistema que permite detectar posibles anomalías en el tráfico de redes IP. Los valores de tráfico, se capturan a través del software MRTG en combinación con la herramienta RRDtool y posteriormente son procesados estadísticamente para detectar variaciones abruptas en el volumen de tráfico. Los resultados son mostrados en forma de gráficas que pueden ser acezadas mediante interfaces Web. Los experimentos realizados demuestran que seleccionando adecuadamente los parámetros de configuración el sistema funciona satisfactoriamente. vi TABLA DE CONTENIDOS PENSAMIENTO .....................................................................................................................i DEDICATORIA .................................................................................................................... ii AGRADECIMIENTOS ........................................................................................................ iii TAREA TÉCNICA................................................................................................................iv RESUMEN .............................................................................................................................v TABLA DE CONTENIDOS .................................................................................................vi INTRODUCCIÓN ..................................................................................................................1 Capítulo 1. La Detección de Anomalía..................................................................................4 1.1 Surgimiento y aproximaciones más empleadas en la detección de anomalías .......4 1.2 Premisa de la detección de anomalía. .....................................................................5 1.2.1 Métodos de detección de anomalías basados en estadísticas..........................5 1.2.1.1 Técnicas basadas en aprendizaje automático.................................................7 1.2.1.2 Análisis secuencial basado en llamada al sistema. ........................................8 1.2.1.3 Método de la ventana deslizante....................................................................8 1.2.1.4 Redes Bayesianas...........................................................................................9 1.2.1.5 Análisis de los componentes principales. ....................................................10 1.2.1.6 Modelos de Markov. ....................................................................................11 1.2.2 Método de detección de anomalía basados en especificaciones...................11 vii 1.2.2.1 Detección de anomalías basado en minería de datos. ..................................12 TU UT 1.2.2.2 Detección de intrusos basado en clasificación. ............................................12 TU UT 1.2.2.3 Agrupamiento y detección de objetos aislados. ...........................................14 TU UT 1.2.2.4 Descubrimiento de reglas de asociación. .....................................................15 TU 1.3 UT Anomalías más comunes. .....................................................................................16 TU UT TU UT Capítulo 2. Software de medición de tráfico. .......................................................................17 TU UT 2.1 Software MRTG. ...................................................................................................17 TU UT TU UT 2.1.1 Desarrollo de MRTG. ...........................................................................................17 TU UT 2.2 Técnica Round Robind. .........................................................................................18 TU UT TU UT 2.2.1 TU Herramienta RRDtool. ..................................................................................18 UT UT 2.2.2 TU TU Proyectos venideros con la herramienta RRDtool. .......................................18 UT 2.3 TU UT Condiciones para instalar y configurar MRTG exitosamente. ..............................19 TU UT TU UT 2.3.1 TU Instalación del software MRTG. ...................................................................19 UT UT 2.3.2 TU TU Configuración del software MRTG. ..............................................................20 UT UT 2.3.3 TU TU MRTG como un demonio. ............................................................................21 UT 2.4 TU UT MRTG acoplado a RRDtool. ................................................................................22 TU UT TU 2.5 UT Descripción de algunas funciones de RRDtool. ...................................................23 TU UT TU 2.6 UT Modelo de allanamiento exponencial. ..................................................................23 TU UT TU UT Capítulo 3. Diseño del sistema y ajuste de las constantes. ...................................................25 TU UT 3.1 Lenguaje de programación seleccionado. .............................................................25 TU UT TU UT 3.1.1 TU Descripción del sistema. ...............................................................................25 UT UT 3.1.2 TU TU Descripción de las subrutinas. ......................................................................26 UT 3.2 TU UT Ajustes del sistema................................................................................................27 UT TU UT 3.2.1 TU TU UT Metodología para el ajuste de las constantes α y γ. ......................................27 TU UT viii 3.3 Resultados.............................................................................................................28 CONCLUSIONES Y RECOMENDACIONES ...................................................................32 Conclusiones.....................................................................................................................32 Recomendaciones .............................................................................................................32 REFERENCIAS BIBLIOGRÁFICAS .................................................................................33 ANEXOS ..............................................................................................................................38 Anexo I Valores de tráfico almacenados en una base de datos. ........................................38 Anexo II Pronóstico del sistema. ........................................................................................39 Anexo III Número total de anomalías detectadas por el sistema.........................................39 Anexo IV Diagrama en bloque del sistema. ........................................................................40 Anexo V Script realizado....................................................................................................41 GLOSARIO TÉCNICO........................................................................................................51 Introdución 1 INTRODUCCIÓN Tan necesaria resulta hoy día las Telecomunicaciones para el hombre, que históricamente grandes compañías, universidades e instituciones trabajan en lograr un objetivo común, no solo desarrollar los sistemas y medios de comunicaciones, sino hacerlos más seguros y fiables. Es por eso que en la década de los ’80 del siglo pasado, surgen los primeros vestigios por parte de los investigadores sobre la seguridad de las redes. Presentando su interés en el tema y con vista a que otros se interesen por la seguridad, James P. Anderson lanza sus primeros aportes, donde anuncia la detección de anomalía como un método valido para detectar intrusiones en los servicios informáticos. A partir de aquí, la seguridad logra gran simpatía entre los investigadores y son empleados grandes Modelos como el de Markov o técnicas como el Aprendizaje Automático (Machine Learnig) por solo nombrar algunos, que aplican las aproximaciones más comunes para la detección de anomalía. Muchas de estas técnicas, modelos y algoritmos son puestos en práctica en las redes de computadoras, gracias a los lenguajes de programación y a su evolución. Por esta razón muchos programadores interesados también en la temática, han hecho sus aportes creando softwares, que aunque no implementan en si un sistema de detección de anomalías, se usan como herramientas para la administración de las redes. Como una alternativa para mejorar la seguridad de su red TCP-IP, la Universidad Central “Marta Abreu” de Las Villas, emplea un software llamado MRTG, cuyo principal objetivo es mostrar gráficamente a los administradores el tráfico que es cursado a través de las interfaces de redes. A pesar de poseer el software una ventaja como esta, se le pueden Introdución 2 atribuir algunas deficiencias, no hace uso de un mecanismo que permita detectar anomalías, debido a esto las anomalías deben ser detectadas mediante la inspección visual y sus bases de datos necesitan del mantenimiento esporádico, por utilizar gran cantidad de memoria que incrementa con el pasar del tiempo. Como resultado de esta última deficiencia, el creador de MRTG, ha desarrollado una nueva herramienta que utiliza una técnica que permite mantener el mismo espacio de memoria en las bases de datos. A consecuencia de estas deficiencias, surgen las siguientes interrogantes científicas: ¿Cómo utilizar las bases de datos circulares que nos brinda el RRDtool, para poder implementar algoritmos de detección de anomalías a partir de los cuales se pueda automatizar el proceso de gestión de la red? ¿Qué pruebas son necesarias para validar los resultados de la implementación propuesta? Por consiguiente este trabajo se presenta con vista a mejorar la gestión de la red, posibilitando incrementar las prestaciones de la misma y su recuperación en los procesos que hacen uso de esta. Para dar cumplimiento a las tareas e interrogantes científicas, se trazan los siguientes objetivos: Objetivo general Elevar el desempeño de la red haciendo uso de novedosos algoritmos para la detección de anomalías. Objetivos específicos 1. Implementar algoritmos de detección de anomalías en combinación con el software MRTG y la herramienta RRDtool que permitan automatizar el proceso de gestión de red. 2. Montar un sistema de prueba y evaluar su desempeño generando de forma simulada diferentes alteraciones en el tráfico de la red. Introdución 3 La estructura del trabajo la conforman tres capítulos: Capítulo 1. Contiene el surgimiento y aproximaciones más empleadas para la detección de anomalía. También presenta el estado del arte de algunos modelos construidos por los investigadores para esta tarea. Capítulo 2. Aborda el acople de la herramienta RRDtool con el software MRTG y los pasos que se siguen para la instalación y configuración de este último. Además de mostrar el modelo seleccionado para detección de anomalías. Capítulo 3. El tercer y último capítulo, presenta una descripción del sistema realizado y los resultados obtenidos a partir del ajuste de las constantes. CAPĺTULO 1. La detección de anomalía 4 Capítulo 1. La Detección de Anomalía. En este capítulo se recogen las principales aproximaciones empleadas para la detección de anomalías y se describen algunos métodos, algoritmos y técnicas que hacen uso de estas. 1.1 Surgimiento y aproximaciones más empleadas en la detección de anomalías La detección de anomalía fue propuesta por James P. Anderson en 1980, como un método válido para detectar intrusiones en sistemas informáticos [1]. La idea es a priori muy interesante, estos modelos de detección conocen lo que es “normal” en redes o en máquinas a lo largo del tiempo, desarrollando y actualizando conjuntos de patrones contra los que comparar los eventos que se producen en los sistemas. Si uno de esos eventos (por ejemplo, una trama procedente de una máquina desconocida) se sale del conjunto de normalidad, automáticamente se cataloga como sospechosa. Existen dos grandes aproximaciones que se basan en la detección de anomalías [2]: o es el sistema el que es capaz de aprenderlo por sí mismo (basándose por ejemplo en el comportamiento de los usuarios, de sus procesos, del tráfico de la red etc.) o bien se le especifica al sistema dicho comportamiento mediante un conjunto de reglas. La primera de estas aproximaciones utiliza básicamente métodos estadísticos (medias, varianzas etc.), aunque también existen modelos en los que se aplican algoritmos de aprendizaje automático. La segunda aproximación consiste en especificar mediante un conjunto de reglas los perfiles de comportamiento habitual basándose en determinados parámetros de los sistemas (con la dificultad añadida de decidir cuáles de esos parámetros que con mayor precisión delimitan los comportamientos). CAPĺTULO 1. La detección de anomalía 5 1.2 Premisa de la detección de anomalía. La premisa central de la detección de anomalía, es una actividad intrusa que abarca un subconjunto de actividades anómalas. Si se considera a un intruso, como alguien que no tiene idea de los modelos de actividad del usuario legítimo, hay una probabilidad fuerte que la actividad del intruso se descubrirá como anómala. En el caso ideal, el conjunto de actividades anómalas será igual al conjunto de actividades intrusas. En tales casos, marcando todas las actividades como actividades intrusas resultan en falso no positivo y falso no negativo. Sin embargo, las actividades intrusas no siempre coinciden con actividades anómalas. Se sugieren cuatros grupos posibles, cada una con probabilidad diferente de cero [3]. • Intruso pero no anómalo: Estos son falso negativo, porque el sistema de descubrimiento de intrusión falsamente reporta la ausencia de intrusiones. • No intruso pero anómalos: Esto es un falso positivo, porque un sistema de detección de intruso falsamente reporta instrucciones. • No intruso y no anómalo: estos son verdaderos negativos, la actividad no es intrusa y no es reportada como intrusa. • Intruso y anómala: Estos son verdaderos positivos, la actividad es intrusa y es reportada como tal. Cuando se necesita minimizar los falsos negativos, se bajan los umbrales que definen una actividad anómala. Esto da como resultado varios falsos positivos y reducen la eficiencia del mecanismo automático para la detección de intrusos. Esto crea una sobrecarga para el administrador de seguridad, igualmente para el que debe investigar cada incidente y excluir eventuales falsos positivos. 1.2.1 Métodos de detección de anomalías basados en estadísticas. El detector observa las actividades de los elementos del sistema, activos - sujetos -, pasivos - objetos - o ambos, y genera para cada uno de ellos un perfil que define su comportamiento; dicho perfil es almacenado en el sistema, y se actualiza con determinada frecuencia envejeciendo la información más antigua y priorizando la más fresca. El CAPĺTULO 1. La detección de anomalía 6 comportamiento del usuario en un determinado momento se guarda temporalmente en otro perfil, denominado perfil actual (current profile), y a intervalos regulares se compara con el almacenado previamente en busca de desviaciones que puedan indicar una anomalía. En [4], se definen diferentes tipos de datos o medidas que pueden ser útiles en la elaboración de estos perfiles: Intensidad de la actividad: Reflejan la razón del progreso de la actividad en el sistema, para lo cual recogen datos a intervalos muy pequeños típicamente entre un minuto y una hora. Estas medidas detectan ráfagas de comportamiento (por ejemplo, una excesiva generación de peticiones de entrada/salida en un cierto intervalo) que en espacios de tiempo más amplios no podrían ser detectadas. Numéricas: Se trata de medidas de la actividad cuyo resultado se puede representar en forma de valor numérico, como el número de ficheros leídos por cierto usuario en una sesión o la cantidad de veces que ese usuario se ha equivocado al teclear su contraseña de acceso al sistema. Categóricas: Las medidas categóricas son aquellas cuyo resultado es una categoría individual, y miden la frecuencia relativa o la distribución de una actividad determinada con respecto a otras actividades o categorías; por ejemplo, cual es la relación entre la frecuencia de acceso a un determinado directorio del sistema en comparación con la de acceso a otro. Seguramente la palabra “categoría” no es la más apropiada (por lo menos, no la más clara), ya que bajo este término se pueden englobar tantos objetos (por ejemplo, ficheros) como eventos (por ejemplo, llamadas a la función crypt()) del sistema; esta T T definición genérica puede resultar más sencilla si distinguimos entre categorías globales e individuales: en castellano plano, podemos entender las categorías globales como acciones muy genéricas dentro de un entorno, mientras que las categorías individuales serían la particularización para un elemento determinado del sistema. Así, una categoría global puede ser la formada por el conjunto de accesos remotos a la máquina, mientras que una individual sería la formada por los accesos desde una determinada ubicación física. Distribución de registros de auditoría: Esta medida analiza la distribución de las actividades generadas en un pasado reciente basándose en los logs generados por las mismas; dicho análisis se realiza de forma ponderada, teniendo más peso las actividades CAPĺTULO 1. La detección de anomalía 7 más recientes, y es comparado con un perfil de actividades “habituales” previamente almacenado, de forma que permite detectar si en un pasado reciente se han generado eventos inusuales. Estos métodos estadísticos para la detección de anomalías poseen un gran número de ventajas. Estos sistemas como la mayoría de los sistemas de detección, no requieren un conocimiento previo de las banderas de seguridad y/o de los propios ataques. Como resultado, tales sistemas tienen la capacidad de detectar los ataques más recientes. En adición a esto, los métodos estadísticos pueden proveer notificaciones exactas de actividades maliciosas que típicamente ocurren durante períodos de tiempo prolongados que son buenos indicadores del inminente ataque de DoS. No obstante estos métodos estadísticos tienen ciertas desventajas, debido a que hacen un tanto trabajosa la determinación de un umbral que logre un balance entre las posibilidades de falsos positivos y falsos negativos. De hecho, la mayoría de estas técnicas estadísticas de detección de anomalías requieren la asunción de un proceso cuasi-estacionario, el cuál no puede ser asumido para la mayoría de los datos procesados. Uno de los primeros sistemas de detección de intrusos basado en la detección estadística de anomalías fue el denominado Haystack [5]. 1.2.1.1 Técnicas basadas en aprendizaje automático. Este aprendizaje de máquina puede ser definido como la habilidad de un programa y/o sistema para aprender y mejorar su funcionamiento en el desempeño de una tarea o un grupo de tareas en el tiempo. Sin embargo, a diferencia de los métodos estadísticos los cuales tienden a fijar su atención a la comprensión de los procesos que generan los datos, las técnicas basadas en aprendizaje de máquinas fijan su atención a la construcción de un sistema que mejore su funcionamiento basado en los resultados previos. En otras palabras, un sistema que se base en el paradigma del aprendizaje automático tiene la habilidad de cambiar su estrategia de ejecución en la base de la nueva información adquirida. CAPĺTULO 1. La detección de anomalía 8 1.2.1.2 Análisis secuencial basado en llamada al sistema. Este método es una de las técnicas basadas en aprendizaje de máquina más ampliamente usada para la detección de anomalías, que involucra conocer el comportamiento de un programa y reconocer desviaciones significantes de lo “normal”. Uno de los investigadores del tema [1], establece que la correlación en secuencias de longitud fija de llamada al sistema [6], podría ser usada para elaborar un perfil normal de un programa. Por consiguiente, los programas que muestren secuencias que están desviadas del perfil de secuencia normal podrían ser considerados como víctimas de un ataque. Otro investigador [7] hizo una extensión del trabajo, en el que se elaboró una base de datos del comportamiento normal para cada programa de interés. Una vez elaborada una base de datos estable para un programa dado en condiciones particulares, la base de datos es entonces usada para monitorear el comportamiento del programa. Las secuencias de llamada al sistema forman un conjunto de patrones normales para la base de datos, y las secuencias no encontradas en esta, son entonces indicadores de anomalías. 1.2.1.3 Método de la ventana deslizante. Este es otro método que ha sido frecuentemente usado en el entorno que nos encontramos. Es una metodología de aprendizaje secuencial, que convierte el problema de aprendizaje secuencial en el clásico problema de aprendizaje. Construye una ventana clasificadora hw B B que mapeo una ventana de entrada de ancho w dentro de un valor individual y de salida. Específicamente, tenemos que d = (w - 1)/2 que es la mitad del ancho de la ventana. Entonces hw predice yi ,t usando la ventana B B B B (xi,t _ d ,xi, t _ d+1, . . .,xi, t, . . .,xi, t + d_1,xi, t + d). La ventana clasificadora hw es preparada para la B B B B B B B B B B B B conversión de cada ejemplo secuencial de entrenamiento (xi, yi) dentro de la ventana y B B B B entonces aplicar un algoritmo de aprendizaje de máquina estándar. Una nueva secuencia x es clasificada convirtiéndola en una ventana, aplicando hw para predecir cada yt y luego B B B B concatenar los yt para formar las secuencias y predichas. B B La ventaja evidente de este método de la ventana deslizante es que permite que sea aplicado a cualquier algoritmo clásico de aprendizaje supervisado. Si bien, el método de ventana CAPĺTULO 1. La detección de anomalía 9 deslizante da suficiente rendimiento en muchas aplicaciones, en este no se aprovechan las correlaciones entre valores cercanos de yt .Específicamente, la única relación entre valores B B cercanos de yt que se capturan, es que son previsibles de los valores cercanos de xt. B B B B Si hay correlación entre los valores de yt que son independientes de los valores xt, entonces B B B B estos no son capturados. El método de la ventana deslizante ha sido utilizado con éxito en una serie de técnicas de aprendizaje automático basados en la detección de anomalía [8, 9]. Existen dos métodos más que mejoran el método tradicional de la ventana deslizante, uno utiliza ventanas deslizantes para crear una base de datos de secuencias normales para la realización de pruebas en contra de los casos de prueba [8], y el otro propone una metodología de modelado dinámico que utiliza la longitud de una ventana deslizante dependiente del contexto de la secuencia de llamada al sistema [9]. 1.2.1.4 Redes Bayesianas. Una red Bayesiana codifica las relaciones probabilísticas entre variables de interés. Cuando se usa en ejecución con técnicas estáticas, las redes Bayesianas tienen una serie de ventajas para el análisis de datos [10]. Primeramente porque estas codifican las interdependencias entre variables, que pueden manejar la situación donde hayan pérdidas de datos. En segundo lugar, las redes Bayesianas tienen la habilidad de representar relaciones causales, por consiguiente, ellas pueden ser usadas para predecir las consecuencias de una acción. Por último tienen ambas relaciones, causales y probabilísticas, por lo que pueden ser usados para modelar problemas donde se necesite combinar conocimientos previos con datos. Algunas personas pretenden adaptar las estadísticas bayesianas para crear modelos de detección de anomalías [11, 12]. Otros investigadores [13] desarrollaron un sistema de detección de anomalías que emplea redes bayesianas ingenuas (bayesianas naives) [14]. Este modelo que es parte de EMERALD [15], ha sido capaz de potenciar la detección de ataques distribuidos en los cuales cada ataque individual a una sesión no es lo suficientemente sospechoso como para generar una alerta. Sin embargo, este esquema también tiene desventajas; primeramente como se señala en [11]. Otra área dentro del CAPĺTULO 1. La detección de anomalía 10 dominio de la detección de anomalías, donde las técnicas bayesianas han sido frecuentemente usadas, es en la clasificación y supresión de falsas alarmas [11]. Aunque el uso de redes bayesianas para la detección de intrusos o la predicción del comportamiento de intrusos puede ser efectiva en determinadas aplicaciones, sus límites deben considerarse en la aplicación real. Dado que la precisión de este método es dependiente de ciertas suposiciones que son típicamente basadas en el modelo de comportamiento del sistema de destino, y desviándose de esas suposiciones se reducirá su exactitud. Seleccionando un modelo inexacto dará lugar a un sistema de detección inexacto. Por lo tanto, la selección de un modelo preciso es el primer paso para la solución del problema. Lamentablemente la selección de un modelo de comportamiento exacto no es una tarea fácil porque estas redes y/o sistemas típicos son complejos. 1.2.1.5 Análisis de los componentes principales. Las bases de datos para los sistemas de detección de intrusos, típicamente son muy largas y multidimensionales. Con el continuo aumento de la velocidad en las redes y redes distribuidas basadas en el almacenamiento intensivo de aplicaciones de datos, como la elaboración, transmisión, visualización y comprensión de los datos se torna cada vez más compleja y costosa. Para enfrentar el problema de la alta dimensionalidad de las bases de datos, investigadores han desarrollado una técnica de reducción de dimensionalidad conocida como PCA [16, 17]. Una de las mayores desventajas de muchas de las técnicas de aprendizaje automático, así como la llamada al sistema basado en el método del análisis de secuencia y el modelo oculto de Markov, es que estos son recursos muy costosos. Por ejemplo, una técnica de detección de anomalías que esté basada en el modelo de Markov es computacionalmente muy cara porque ésta usa técnicas de estimación paramétricas basadas en los algoritmos de Bayes para el entrenamiento del perfil normal de los anfitriones/red considerados. Si se considera una larga cifra de datos auditados y una frecuencia relativamente alta de eventos que ocurren en computadoras y redes de hoy día, tales técnicas para la detección de anomalías no son escalables para la operación en tiempo real. CAPĺTULO 1. La detección de anomalía 11 1.2.1.6 Modelos de Markov. Los modelos de Markov han sido usados también extensivamente para la detección de anomalías. Existe el llamado modelo de Markov oculto, como otra técnica popular de Markov, es un modelo estadístico donde el sistema modelado es asumido como un proceso de Markov con parámetros desconocidos. El reto es la determinación de los parámetros ocultos desde los parámetros observables. A diferencia del modelo regular de Markov, donde las probabilidades de transición de estado son solamente parámetros y el estado del sistema es directamente observable. En un modelo de Markov oculto, el único elemento visible son las variables del sistema que son influenciadas por el estado del sistema, el cual está propiamente oculto. Un estado oculto de este modelo representa algunas condiciones no visibles del sistema modelado. En cada estado, existe una probabilidad certera de producir alguna de las salidas del sistema visible y una probabilidad separada indicando la probabilidad del próximo estado. Considerando las diferentes distribuciones de probabilidad de salida en cada estado y la autorización del sistema a cambiar su estado sobre el tiempo, el modelo es capaz de representar secuencias no estacionarias. 1.2.2 Método de detección de anomalía basados en especificaciones. La segunda aproximación a la que antes se ha hecho referencia, es la consistente en indicar mediante un conjunto de reglas el comportamiento habitual del sistema. Suele ser denominada detección de anomalías basada en especificaciones (specification-based anomaly detection). Fue propuesta y desarrollada inicialmente por Calvin Check Wang Ko y otros investigadores de la Universidad de California en Davis, durante la segunda mitad de los noventa [18,19]. La idea en la que se sustentan los sistemas de detección de anomalías basados en especificaciones, es que se puede describir el comportamiento “deseable” (entendiendo por “deseable” el comportamiento “normal”) de cualquier programa cuya seguridad sea crítica. Esta descripción se realiza en base a una especificación de seguridad mediante gramáticas, y se considera una violación de seguridad, al menos en principio, a las ejecuciones de dichos programas que violen su respectiva especificación. CAPĺTULO 1. La detección de anomalía 12 1.2.2.1 Detección de anomalías basado en minería de datos. Para eliminar los elementos manuales y temporales del proceso de construcción de un sistema de detección de intrusos, los investigadores apuestan cada vez más por el uso de las técnicas de minería de datos (data mining) para la detección de anomalías [20, 21]. Grosman [22] define “minería de datos” como; “el descubrimiento de patrones, asociaciones, cambios, anomalías, estructuras estadísticas significantes y eventos en datos”. Simplemente, minería de datos es la habilidad de tomar datos como entradas, y extraer de estos, patrones o desviaciones que puedan no ser distinguidas fácilmente a simple vista. La minería de datos puede ayudar a mejorar los procesos de detección de intrusos, adicionando un nivel de enfoque en la detección de anomalías. Identificando saltos para actividades validas de la red, la minería de datos ayudará a distinguir actividades de ataques del tráfico diario en la red. 1.2.2.2 Detección de intrusos basado en clasificación. Un sistema de detección de intrusos que clasifica los datos auditados como normales o anómalos basados en un conjunto de reglas, patrones y otras técnicas afiliadas puede ser ampliamente definido como un sistema de detección de intrusos basado en clasificación. Este proceso de clasificación típicamente implica los siguientes pasos: 1. Identificar atributos de clases y clases de los datos de entrenamiento. 2. Identificar atributos para la clasificación. 3. Adquirir un modelo usando los datos de entrenamiento. 4. Usar el modelo adquirido para clasificar las muestras de datos desconocidos. Una variedad de técnicas de clasificación han sido propuestas en la literatura. Estas incluyen técnicas inductivas de generación de reglas, lógica difusa (logic fuzzy), algoritmos genéticos y técnicas basadas en redes neuronales. Algoritmos inductivos de generación de reglas, típicamente implica la aplicación de un conjunto de reglas de asociación y patrones de eventos frecuentes, para clasificar los datos revisados. En este contexto, si una regla declara que: “si el evento X ocurre, entonces el evento Y es probable que ocurra”, estos eventos X y Y pueden ser descritos como un CAPĺTULO 1. La detección de anomalía 13 conjunto de pares (variable, valor) donde el objetivo es encontrar los conjuntos X y Y tal que X implique Y. En el dominio de la clasificación, se fija Y y se intenta encontrar un conjunto de X el cual sea buen preeditor para la clasificación correcta. Mientras que la clasificación supervisada deriva solamente reglas para un solo atributo, las técnicas inductivas de generación de reglas las cuales son por lo general no supervisadas, derivan reglas relacionadas con alguno o todos los atributos. Las técnicas de lógica difusa, han estado en uso en el área de redes y computadoras desde la pasada década del 1990. Estas técnicas se han empleado para la detección de intrusos por dos razones primarias [23]. Primeramente, por varios parámetros cuantitativos que son usados en el contexto de la detección de intrusos, Ej. Tiempo de uso de la CPU, intervalos de conexión, entre otros, que pueden ser potencialmente vistos como variables difusas. En segundo lugar, el concepto de seguridad es propiamente difuso [23]. En otras palabras, el concepto de difuso contribuye a allanar la separación abrupta del comportamiento normal y el anormal. Es decir, un determinado punto de datos que quedan fuera dentro de un intervalo ''normal'' definido, se considerará anómalo normal en el mismo grado, independientemente de su distancia desde el intervalo. Algoritmos genéticos, es una técnica de búsqueda que se utiliza para encontrar soluciones aproximadas a los problemas de optimización y búsqueda, también ha sido ampliamente empleada en el ámbito de la detección de intrusos para diferenciar el tráfico normal de la red del tráfico de conexiones anómalas. La mayor ventaja de los algoritmos genéticos es su flexibilidad y robustez como un método de búsqueda global. Un algoritmo genético converge a la búsqueda de una solución desde múltiples direcciones, y se basa en reglas probabilísticas en lugar de deterministas. En el ámbito de la detección de intrusos en la red, los algoritmos genéticos se han utilizado de diversas maneras. Algunos enfoques [24, 25], han utilizado algoritmos genéticos directamente para obtener las reglas de clasificación, en tanto otros [23, 26], hacen uso de algoritmos genéticos para seleccionar las características apropiadas o determinar los parámetros óptimos de las funciones relacionadas, mientras que diferentes técnicas de minería de datos se utilizan para adquirir las reglas. El primer intento de aplicar los algoritmos genéticos para el problema de la detección de intrusos fue realizado en 1995 [27], cuando se aplicó la tecnología de múltiples agentes para la CAPĺTULO 1. La detección de anomalía 14 detección de anomalías de red. La ventaja principal, fue el empleo de un gran número de agentes, utilizados para controlar una serie de parámetros en la red. Redes neuronales, constituyendo la base de un sistema de detección de intrusos son tradicionalmente sistemas basados en anfitriones que se centran en la detección de desviaciones en el comportamiento de programas como una señal de anomalía. En el enfoque de redes neuronales para la detección de intrusos, estas aprenden a predecir el comportamiento de los distintos usuarios y de los demonios del sistema. La principal ventaja consiste en su tolerancia para los datos imprecisos e información dudosa, y su habilidad para inferir soluciones desde los datos sin tener previo conocimiento de la regularidad de estos. Todo esto en combinación con su habilidad de generalización a partir de los datos de entrenamiento muestra un enfoque apropiado para la detección de intrusos. Sin embargo, las soluciones basadas en las redes neuronales tienen varias desventajas. Primeramente, estos pueden fallar en encontrar una solución satisfactoria por carecer de datos suficientes o por ser una función no adiestrable. En segundo lugar, las redes neuronales pueden ser lentas y caras en el entrenamiento. La carencia de velocidad es en parte por la necesidad de recolectar y analizar los datos entrenados o porque las redes neuronales han de manipular los pesos de las neuronas individuales para llegar a la solución correcta. ANDSOM [28] es el módulo para la detección de anomalías de red basado en el sistema de detección de intrusos, llamado INBOUNDS, que se desarrolló en la Universidad de Ohio. 1.2.2.3 Agrupamiento y detección de objetos aislados. El agrupamiento (clustering) es una técnica para encontrar patrones en los datos multidimensionales sin revisar. Clustering ha despertado el interés en los investigadores en el contexto de la detección de intrusos [29, 30]. La principal ventaja que ofrece Clustering es la capacidad de detectar y aprender de intrusiones en los datos revisados, en tanto que no requieren del administrador del sistema para proporcionar descripciones explícitas de los diversos clases/tipos de ataques. CAPĺTULO 1. La detección de anomalía 15 Detección por agrupamiento, y por objetos aislados (outliers) están estrechamente relacionados. Desde el punto de vista de un algoritmo de clustering, los outliers son objetos que no se encuentran en los grupos del conjunto de datos; y en el contexto de la detección de anomalías, pueden representar intrusiones y ataques. La comunidad estadística ha estudiado ampliamente el concepto de “objetos aislados” [31]. Los algoritmos de detección por objetos aislados más recientes [32, 33, 34] se basan en las distancias dimensionales completas entre los puntos, así como las densidades de las vecindades locales. El MINDS [35] es otro método de detección de anomalías en red que utiliza técnicas de minería de datos. El módulo de detección de anomalías MINDS asigna un grado de aislamiento a cada punto de datos, nombrados como LOF [34]. El LOF toma en consideración la densidad de la vecindad alrededor del punto en observación para determinar estos aislamientos. En este esquema, los objetos aislados tienden a tener altos valores de LOF. La ventaja del algoritmo de LOF es su habilidad para detectar todas las formas de aislamientos, incluyendo aquellas que no pueden ser detectadas por los algoritmos basados en distancias. 1.2.2.4 Descubrimiento de reglas de asociación. Las reglas de asociación son una de las varias técnicas de minería de datos que describen eventos que tienden a ocurrir a la vez. El concepto de estas puede ser comprendido como; dada una base de datos D de transacciones donde cada transacción T ∈ D denota un conjunto de ítems en la base de datos., una regla de asociación de la forma X =>Y, donde X ⊂ D , Y ⊂ D y X ∩ Y = φ . La regla X =>Y sostiene en el conjunto de transacción con certidumbre c si c% de transacción en X también contiene a Y. Dos importantes conceptos cuando se trabaja con reglas de asociación son certidumbre de regla y soporte de reglas. La probabilidad de la certidumbre de regla es definida como la probabilidad condicional P (Y ⊆ T X ⊆ T ) . La regla X =>Y tiene soporte s en la base de datos de transacción D si s% de transacción en D contiene X ∪ Y . Las reglas de Asociación han sido exitosamente usadas en la minería de datos auditados para encontrar patrones normales para la detección de anomalías [36, 37, 38]. Ellas están particularmente en el dominio de la detección de CAPĺTULO 1. La detección de anomalía 16 anomalías porque pueden ser usadas para construir un sumario de conexiones anómalas detectadas por el sistema de detección de intrusos. 1.3 Anomalías más comunes. Hay diferentes formas de anomalías, el desafío es cubrir todas estas formas de anomalías de la manera más eficiente posible, como en el caso de un ataque que altera un protocolo de red volviéndolo incompatible con su RFC. Una anomalía puede ser un programa que cuando se ejecuta invade otras áreas de memoria o captura datos para enviarlos por Internet. Puede ser además un tráfico aparentemente verdadero en la red, que envía comandos al servidor Web o inclusive a un servidor de datos que interactúa con el sitio Web, una red cuyo volumen de tráfico se mantiene estable todos los días y que se reduce abruptamente o aumenta. O una computadora que misteriosamente aparece en la red, comunicándose con Internet y que nadie sabe de quién es o dónde está. Todos estos ejemplos son anomalías, sin embargo, cada uno de ellos exige un método diferente de detección. Pero hay muchas otras anomalías en nuestro mundo digital, como la congestión de una red, la corrupción de datos, errores en la secuencia o duplicación de datos, así como paquetes retrasados o perdidos. CAPĺTULO 2. Software de medición de tráfico 17 Capítulo 2. Software de medición de tráfico. Para abordar la instalación y configuración del software MRTG y su trabajo en conjunto con la herramienta RRDtool, se ha dedicado el presente capítulo. En aras de terminar su estructura se describe el modelo de allanamiento exponencial y algunas funciones de RRDtool. 2.1 Software MRTG. MRTG es un software o herramienta, escrita en C y Perl por Tobias Oetiker y Dave Rand, que se utiliza para supervisar la carga de tráfico de interfaces de red. MRTG genera páginas HTML con gráficos que proveen una representación visual de este tráfico. MRTG utiliza SNMP [39] para recolectar los datos de tráfico de un determinado dispositivo (ruteadores o servidores), por tanto es requisito contar con al menos un sistema con SNMP funcionando y correctamente configurado. SNMP manda peticiones con dos OIDs al anfitrión. Una base de control de información MIB [40] controla las especificaciones de los OIDs. Después de recoger la información la manda sin procesar mediante el protocolo SNMP. 2.1.1 Desarrollo de MRTG. Es importante señalar que unos de los proyectos en los que se trabaja, es en el mejoramiento del software MRTG y uno de los que lo afirma es su propio creador [41], cuando asegura que un gran por ciento de la nueva versión más específicamente MRTG CAPĺTULO 2. Software de medición de tráfico 18 versión 3 estará basada en RRDtool, debido a la baja capacidad, la reutilización de memoria en sus ficheros .rrd y su gran flexibilidad con la generación de gráficos. 2.2 Técnica Round Robind. Round Robin es una técnica empleada por la herramienta RRDtool. Esta técnica brinda la posibilidad de mantener siempre el mismo espacio de memoria, el cual no se afecta al introducirle grandes cantidades de valores y mucho menos con el pasar del tiempo, para lograrlo, se sobrescribe o se desecha el primer elemento almacenado en la base de datos por el valor más reciente y así sucesivamente hasta repetirse nuevamente el ciclo, esto ocurre cuando ya se ha utilizado todo el espacio de memoria disponible en la base de datos. De esta forma, la base de datos no requiere de ningún mantenimiento. 2.2.1 Herramienta RRDtool. RRDtool se deriva de MRTG. MRTG empezó como un pequeño script para poder graficar el uso de una conexión a Internet. Luego evolucionó, permitiendo graficar otras fuentes de datos, como temperatura, velocidad, voltajes, cantidad de páginas impresas, etc. Actualmente lo más usado es RRDtool para guardar y procesar datos conseguidos a través de SNMP, y que los datos sean el número de bytes (o bits) transferidos desde y hacia una red u ordenador. RRDtool te permite crear una base de datos, guardar los datos en ellas, recuperarlos y crear gráficos en formato GIF o PNG, para mostrarlos en un navegador Web. Esas imágenes dependen de los datos que se hayan guardado y pueden, por ejemplo, ser un sumario del promedio del uso de la red, o los picos de tráfico que ocurrieron etc. Los valores necesariamente no tienen porque ser enteros, también puedes almacenar flotantes, algo con lo cual no trabaja MRTG. 2.2.2 Proyectos venideros con la herramienta RRDtool. Existen proyectos ambiciosos con RRDtool, los cuales están orientados ha crear nuevos gráficos que muestren el contenido de una base de datos RRDtool. Se pretende usar nuevas CAPĺTULO 2. Software de medición de tráfico 19 extensiones de gráficos en vista a mejorar los detalles en las imágenes. Para esto, se trabaja en la implementación de extensiones más poderosas como la EPS, PDF y SVD. 2.3 Condiciones para instalar y configurar MRTG exitosamente. Existen cuatros requisitos fundamentales que se deben tener presente para la exitosa configuración de MRTG.: 1. Contar con un sistema SNMP correctamente configurado. 2. Emplear correctamente la comunidad (community) SNMP. 3. Conocer la dirección IP del anfitrión que se va a gestionar. 4. Tener instalado una versión del lenguaje de programación Perl Script que sea como mínimo la 5.8.x.x 2.3.1 Instalación del software MRTG. MRTG es un software que puede ser instalado en diversos sistemas operativos. Para realizar dicha acción se debe escoger el sistema operativo con el cual se desea trabajar, para luego proceder a su descarga [41], de esta manera queda instalado MRTG en el directorio descompactado. Para ver si MRTG ha sido instalado correctamente en Windows, se ubica el Command Prompt en el directorio bin de MRTG y se escribe el siguiente código: perl mrtg Esto genera un mensaje de error como el que se muestra en la figura 2.1, alertando la falta del fichero de configuración. Figura 2.1 MRTG instalado en Windows CAPĺTULO 2. Software de medición de tráfico 20 2.3.2 Configuración del software MRTG. Configurar MRTG en Windows es muy rápido, para esto solo se hace uso del fichero cfgmaker y de tres opciones, global, WorkDir y output [41]. cfgmaker: es un fichero que viene por defecto en la versión MRTG-2.16.1, a él se le asigna la tarea de crear el fichero de configuración con las opciones encomendadas. global: esta opción se emplea para agregar opciones al fichero de configuración generado o que se va a generar. WorkDir: path donde MRTG coloca los datos luego de realizar cada consulta. output: le indica a MRTG como se va ha llamar su fichero de configuración. Para configurar el software MRTG, se accede a través del Command Prompt al directorio donde se encuentra el bin de MRTG. Ubicado en él, se procede con el siguiente comando: perl cfgmaker comunidad@direccion_IP - -global “WorkDir: directorio seleccionado” - output nombre.cfg Luego de haber sido instalado y configurado satisfactoriamente MRTG, se debe orientar su arranque de la siguiente manera: perl mrtg mrtg.cfg La figura 2.2 contiene un ejemplo real donde se emplea el fichero y todas las opciones anteriormente mencionadas. Las precauciones (warning) que aparecen cuando se le indica a MRTG que arranque, son generadas, porque no existe todavía ningún fichero .log y MRTG los tiene que crear. Esto también aparece la segunda vez, pero indicando que el fichero ahora se está actualizando. Figura 2.2 Configuración de MRTG. CAPĺTULO 2. Software de medición de tráfico 21 2.3.3 MRTG como un demonio. Correr MRTG como un demonio (deamon) proporciona la ventaja de que él por sí solo arranque cada 5 minutos, respondiendo así a su configuración por defecto. Para esto, se escribe la siguiente opción en el fichero de configuración creado con anterioridad (mrtg.cfg). RunAsDaemon: yes Posteriormente ubicado en el directorio bin, se coloca el siguiente código de línea en el Command Prompt: wperl mrtg - - logging = eventlog mrtg.cfg Para visualizar un ejemplo real de la aplicación del comando se muestra la figura 2.3. Figura. 2.3 Comando de línea que corre a MRTG como un demonio A partir de aquí MRTG trabaja solo. Para comprobar que esté corriendo el proceso, se abre una ventana Administrador de Tarea de Windows (Windows Task Manager) y se supervisa que este wperl.exe en los procesos. En la figura 2.4 se puede observar. Figura 2.4 Proceso wperl corriendo. CAPĺTULO 2. Software de medición de tráfico 22 2.4 MRTG acoplado a RRDtool. Para que MRTG comience a trabajar con RRDtool, este tiene que conocer el path de dos ficheros, el ejecutable RRDtool y del modulo, ellos presenta extensión .exe y .pm. El fichero ejecutable puede ser creado, descargando los códigos fuentes y compilándolos o simplemente ser encontrado en algunas de las versiones liberadas. Esto es posible debido a que, la herramienta se encuentra cubierta por la licencia GNU GPL de software libre (free software). En la versión rrdtool-1.2.15-win32-perl58 se pueden localizar dichos ficheros, sin necesidad de llegar a un proceso de compilación. Existen tres opciones que se emplean para que MRTG trabaje con RRDtool, ellos son nombrados Logformat, PathAdd y LibAdd [41]. 1. LogFormat: habilita a MRTG al trabajo con RRDtool. 2. PathAdd: se emplea para decirle al MRTG el path del ejecutable RRDtool. 3. LibAdd: le orienta a MRTG el path del modulo Perl. Estas opciones son escritas en el orden anteriormente mencionado en el fichero de configuración de MRTG. En la figura 2.4 se encuentran habilitadas todas estas opciones para que MRTG inicie su trabajo con RRDtool. Figura 2.5. Opciones que habilitan a MRTG al trabajo con RRDtool Cuando se hacen modificaciones como estas en el fichero mrtg.cfg, ocurren cambios en el directorio donde MRTG guarda sus datos e imágenes. CAPĺTULO 2. Software de medición de tráfico 23 1. A partir de aquí MRTG convertirá los ficheros viejos con extensión .log a .rrd. Pero estos ficheros .log no se tocan en el proceso, por si ocurre algún percance los datos recogidos hasta el momento prevalezcan. 2. MRTG solamente se encargara de la entrega de los datos a RRDtool, para que este actualice sus bases de datos, es decir los ficheros que contengan extensiones .rrd, pero si se abre algún fichero de estos, no se podrá entender su contenido porque tienen un formato diferente al .log de MRTG. 3. MRTG ya no genera más gráficos, solo se encarga de la encuesta. Ahora MRTG es un 20% más rápido [41], porque no se encarga de actualizar los ficheros inicialmente creados por él. 2.5 Descripción de algunas funciones de RRDtool. Como a partir de ahora la información recogida del tráfico por mediación de MRTG estará almacenada en bases de datos RRD [42], se necesita una descripción de las funciones posibles para la interacción con las bases de datos correspondientes. Para dar respuesta a esta incógnita, a continuación se describen brevemente algunas funciones. • RRDs::create(): permite crear un base de datos RRD. • RRDs::error(): devuelve los errores que ocurren cuando no se está empleando correctamente una función. • RRDs::fetch(): función que permite obtener los datos almacenados en una RRD. • RRDs::graph(): es usada para generar los ficheros de imágenes de una RRD. • RRDs::info(): función que imprime todos los datos de cabecera de una RRD. • RRDs::update(): función que almacena los nuevos valores dentro de una base de datos o en otras palabras actualiza la RRD. 2.6 Modelo de allanamiento exponencial. El objetivo que persigue el modelo de allanamiento exponencial (exponential smoothing model), es determinar posibles fallas y congestionamientos de tráfico en redes de computadoras, catalogándolas como anómalas. CAPĺTULO 2. Software de medición de tráfico 24 Para realizar dicha acción se emplea y se analizan flujos de datos manejados por la interfaz de algún router o swicth. Por ende, puede ser empleado por un sistema para la detección de anomalía en tiempo real. La ventaja principal del modelo es su bajo costo computacional, por emplear tres expresiones en las cuales no existe complejidad matemática. Las palabras allanamiento exponencial le son atribuidas producto a que, en aquellos espacios de tiempo donde la curva (Ej. hecha a partir del tráfico actual) presenta abruptas pendientes (decreciente o creciente) son allanadas o suavizadas, eliminando así el efecto visual de pico en el gráfico [43]. Para lograr esto, se hace uso de un valor Yt+1, valor del tráfico que se B B pronostica en el próximo intervalo de tiempo t+1, y se calcula a partir de Xt y Yt, valor B B B B actual de tráfico y valor del tráfico pronosticado en el tiempo anterior respectivamente, para el primer cálculo de Yt+1, Xt = Yt. También existen dos variables α y γ, denominadas B B B B B B constantes de allanamiento y un factor MADt que es el promedio de la desviación. Las B B expresiones del modelo son presentadas a continuación: Yt+1 = Xt* α + (1- α)* Yt B B B B B (2.1) B 0 < α ≤1, donde Yt = Xt B B B MADt = ∑ ( │Et│/n) =│Et│* γ+ (1- γ)* MADt-1 B B (2.2) B B donde al MADt-1 inicialmente se le asigna un valor, Et =│Yt -Xt│ B B B (Yt+1 – n* MADt ) ≤ Xt+1 ≤ ( Yt+1 + n*MADt ) B B B B B B B B B B B B B B B B B (2.3) CAPÍTULO 3. Diseño del sistema y ajuste de las constantes 25 Capítulo 3. Diseño del sistema y ajuste de las constantes. Este capítulo recoge, una descripción del script, la metodología llevada acabo en la selección de los valores para las constantes del modelo de allanamiento exponencial y los resultados alcanzados con el sistema desarrollado para la detección de anomalías. 3.1 Lenguaje de programación seleccionado. El script que se describe, fue realizado en el lenguaje de programación Perl Script, debido a que la herramienta RRDtool en muchas de sus versión, en especial la mencionada en el capítulo anterior presenta un modulo que le permite a Perl Script hacer uso de las funciones hecha para RRDtool. Aunque, también existen versiones de RRDtool que traen ataduras a otros lenguajes de programación como Python, Ruby, TcL y PHP. 3.1.1 Descripción del sistema. Como en muchos lenguajes de programación, Perl Script permite crear funciones o subrutinas, como también se le conocen. Para hacer un uso más eficiente de la programación, la declaración de las subrutinas se realiza al inicio o al final del programa, pero no durante su cuerpo. Es por esto, que en el script antes de adentrarse al programa principal (main) se declaran todas las subrutinas que se van a emplear. Básicamente las subrutinas son creadas para implementar las ecuaciones del modelo de allanamiento exponencial que constantemente necesitan ser llamadas al igual que algunas funciones de RRDtool. Para habilitar a Perl Script de las funciones de RRDtool, se hace uso del modulo o biblioteca RRDs, y para iniciar su validación se emplea la función que permite recoger los CAPÍTULO 3. Diseño del sistema y ajuste de las constantes 26 datos de una base de datos, luego se visualizan los valores y la hora en la que fueron capturado. Como las bases de datos RRDtool creadas por defecto para cada interfaz contienen dos DS [42], declaradas como ds0 y ds1, las cuales no son más que los valores de entrada y salida del tráfico respectivamente, se proceden a dividirlas para almacenar los valores de entrada y de salida del tráfico en arreglos (array) por separado. Posteriormente se crean algunas bases de datos, las cuales se actualizarán en la medida que se calcule cada valor Yt+1 y MADt B B B B correspondiente a la entrada y salida. Para el cálculo y la actualización de las bases de datos se llaman algunas subrutinas. El siguiente bloque de código contiene la toma de decisiones para generar alarmas, anunciando la posible anomalía detectada. En la última parte del script, se crean los ficheros de imagen que contiene los gráficos de entrada y salida del tráfico de la interfaz con la desviación promedio. Además de dar la cantidad de anomalías detectas en el intervalo de tiempo seleccionado. 3.1.2 • Descripción de las subrutinas. Subrutina actualizar{}: como su nombre la indica esta subrutina es creada para actualizar las bases de datos. • Subrutina for0{}: subrutina que realiza la suma entre el valor que se pronostica y la desviación promedio. • Subrutina for1{}: realiza la operación matemática opuesta a la anterior subrutina. • Subrutina grafico{}: subrutina encargada de generar los ficheros de imagen. • Subrutina MAD{}: subrutina que calcula el pronóstico de la desviación promedio. • Subrutina pronostico{}: subrutina que retorna el valor que se pronostica en el próximo intervalo de tiempo. CAPÍTULO 3. Diseño del sistema y ajuste de las constantes 27 3.2 Ajustes del sistema. A consecuencia de que el modelo de allanamiento exponencial contiene algunas constantes que presentan un intervalo de variación, se necesitan hacer algunas pruebas que permita ver como se comporta el sistema en la detección de anomalías a medida que estas constantes varían. 3.2.1 Metodología para el ajuste de las constantes α y γ. Antes de comenzar la búsqueda de los valores para las constantes α y γ, se debe inicializar la constante MADt-1, para esto se escoge el valor 0, por las siguientes razones, los valores Yt B B B B y Xt inicialmente son iguales y esto proporciona que el resultado sea el propio valor MADt-1. B B B B Lo anterior hace que se deba esperar por algunas muestras de tráfico antes considerar como validos los resultados del modelo. La constante α es la que más peso presenta en el modelo, porque de ella va a depender cuan certero va a comportarse el sistema en detectar las anomalías generadas. Esta constante determina el peso que se le da a la muestra actual y a las muestras anteriores (historia). Se debe seleccionar un valor de α que le permita al sistema generar la mayor cantidad de verdaderos positivos y negativos, para cumplir con el principio de todo sistema de detección de anomalía. Para la determinación de este valor, se barrió cada valor de α con su respectivo valor en la constante γ, en busca de ver el comportamiento del sistema con cada variación realizada. Pero para esto, se tuvieron que generar algunas anomalías en un intervalo de tiempo determinado, en la tabla 3.1 se muestran las anomalías generadas con su respectiva hora y en la figura 3.1 el tráfico recogido en el mismo intervalo de tiempo. Tabla 3.1. Anomalías generadas. Anomalías generadas* Hora Envió de paquetes 8:40 AM Estado normal 9:05 AM Desconexión de la red 9:50 AM CAPÍTULO 3. Diseño del sistema y ajuste de las constantes 28 Conexión de la red 10:20 AM Envió de paquetes 10:45 AM Estado normal 11:10 AM Envió de paquetes 11:50 AM Desconexión de la red 12:10 PM Envió de paquetes 12:40 PM Estado normal 13:00 PM Envío de paquetes 13:10 PM Desconexión de la red 13:25 PM * La anomalía Envió de paquetes se realiza con un sistema operativo Unix, haciendo uso del ping de la muerte (ping of death) para generar grandes volúmenes de flujos de datos, variando el tamaño del paquete. La Desconexión de la red se realiza interrumpiendo físicamente la conexión. Figura 3.1 Tráfico de entrada y salida recogido durante la generación de anomalías. 3.3 Resultados. Los resultados obtenidos fueron relevantes y son mostrados en la tabla 3.2. Donde se puede apreciar que el valor de α = 0.9 produce la menos cantidad de falsos negativos y falsos positivos para todos los valores de n. Esto significa que debido a la gran variabilidad del CAPÍTULO 3. Diseño del sistema y ajuste de las constantes 29 tráfico, para obtener resultados confiables se debe dar una mayor ponderación a los valores actuales de la muestra. Tabla 3.2. Anomalías detectadas para γ = α variando n. Valor para γ= α 0.1 0.2 0.3 0.4 0.5 0.6 0.7 0.8 0.9 Valores de n 1 2 3 1 2 3 1 2 3 1 2 3 1 2 3 1 Total de anomalías detectadas 8 6 0 7 7 3 8 7 6 8 7 6 8 7 7 7 Total de falsos positivos 1 1 0 1 1 0 1 1 0 1 1 0 1 1 0 1 Total de falsos negativos 1 3 8 2 1 4 2 2 2 2 2 2 1 2 1 2 2 3 1 2 3 1 2 3 1 2 3 7 6 6 7 6 7 7 7 9 7 7 1 0 2 0 0 2 0 0 2 0 0 1 1 1 1 2 1 1 1 0 1 1 De la figuras 3.3 a la figura 3.5 se aprecia el comportamiento del tráfico de salida con sus respectivas desviaciones donde el sistema tuvo mejores detecciones. CAPÍTULO 3. Diseño del sistema y ajuste de las constantes 30 Figura 3.3. Para n =1 y γ=α= 0.3. Figura 3.2 Para n=1 y γ=α= 0.5. Figura 3.4. Para n=1 y γ=α= 0.9. CAPÍTULO 3. Diseño del sistema y ajuste de las constantes 31 En la práctica la selección correcta de los parámetros del modelo estará determinada por el comportamiento de las variables, por tales motivos los resultados aquí obtenidos no se pueden extrapolar a cualquier escenario. Sin embargo el método utilizado si puede ser aplicado para ayudar en la selección de las constantes. Conclusiones y Recomendaciones 32 CONCLUSIONES Y RECOMENDACIONES Conclusiones La información recolectada por las herramientas de medición de tráfico MRTG y RRDtool contienen información suficiente para el desarrollo de sistemas de detección de anomalía de volumen de tráfico IP. Por lo antes expuesto, se propone un sistema, aunque simple, permite detectar con adecuada certeza la ocurrencia de varios tipos de anomalías en la red y puede ser aplicado a cualquier escenario. Además las herramientas de software desarrolladas como parte de este trabajo son de fácil configuración y se integran perfectamente con los sistemas de monitoreo de tráfico soportados en MRTG y RRDtool. Recomendaciones • Mejorar la recogida de datos con el surgimiento de nuevas versiones de MRTG. • Hacer uso del rrdcgi de RRDtool para generar de forma automática páginas Wed donde se muestren las imágenes creadas. • Aplicar el sistema de detección de anomalías como una herramienta de gestión en la red de la universidad. Referencia bibliográfica 33 REFERENCIAS BIBLIOGRÁFICAS [1] J.P. Anderson, Computer security threat monitoring and surveillance, James P Anderson Co., Fort, Washington, PA, USA, Reporte Técnico 98-17, Abril 1980. [2]R. Büschkes, M. Borning, Transaction-based Anomaly Detection, in: Proceedings of Workshop on Intrusion Detection and Network Monitoring. The USENIX Association, Abril 1999. [3] H.S. Javitz, A. Valdes, The NIDES Statistical Component: Description and Justification. Reporte Técnico, SRI Internacional, Marzo 1993. [4] S.E. Smaha, Haystack: An intrusion detection system, Proceedings of the IEEE Fourth Aerospace Computer Security Applications Conference, Orlando, FL, pp. 37–44, 1988. [5] S. Forrest, S.A. Hofmeyr, A. Somayaji, T.A. Longstaff, A sense of self for unix processes, in: Proceedings of the IEEE Symposium on Research in Security and Privacy, Oakland, CA, USA, pp. 120–128, 1996. [6] S.A. Hofmeyr, S. Forrest, A. Somayaji, Intrusion detection using sequences of system calls, Journal of Computer Security 6, 1998. [7] W.W. Cohen, Fast effective rule induction, in: Proceedings of the 12th International Conference on Machine Learning, Tahoe City, CA, pp. 115–123, 1995. [8] C. Warrender, S. Forrest, B. Pearlmutter, Detecting intrusions using system calls: alternative data models, in: Proceedings of the IEEE Symposium on Security and Privacy, Oakland, CA, USA, pp. 133–145, 1999. [9] E. Eskin, S.J. Stolfo, Modeling system calls for intrusion detection with dynamic window sizes, in: Proceedings of the DARPA Information Survivability Conference & Exposition II, Anaheim, pp. 165–175, 2001. Referencia bibliográfica 34 [10] D. Heckerman, A Tutorial on Learning With Bayesian Networks, Microsoft Research, Reporte Técnico MSRTR-95-06, Marzo 1995. [11] C. Kruegel, D. Mutz, Bayesian event classification for intrusion detection, in: Proceedings of the 19th Annual Computer Security Applications Conference, Las Vegas, NV, 2003. [12] N. Ye, M. Xu, S.M. Emran, Probabilistic networks with undirected links for anomaly detection, in: Proceedings of the IEEE Systems, Man, and Cybernetics Information Assurance and Security Workshop, West Point, NY, 2000. [13] A. Valdes, K. Skinner, Adaptive model-based monitoring for cyber attack detection, in: Recent Advances in Intrusion Detection Toulouse, France, pp. 80–92, 2000. [14] A. Patcha, J.-M. Park, An overview of anomaly detection techniques: Existing solutions and latest technological trends, Bradley Department of Electrical and Computer Engineering, Virginia Polytechnic Institute and State University, Blacksburg, VA 24061, United States, Febrero del 2006. [15] P.A. Porras, P.G. Neumann, EMERALD: event monitoring enabling responses to anomalous live disturbances, in: Proceedings of the 20th NIST-NCSC National Information Systems Security Conference, Baltimore, MD, USA, pp. 353–365, 1997. [16] R.A Calvo., M. Partridge., M.A. Jabri., A comparative study of principal component analysis techniques, in: Proceedings of the Ninth Australian Conference on Neural Networks, Brisbane, Qld, Australia,1998. [17] W. Wang, R. Battiti, Identifying intrusions in computer networks with principal component analysis, in: The First International Conference on Availability, Reliability and Security, Vienna, Austria, pp. 270–279, 2006. [18] C. Ko, Execution Monitoring of Security-Critical Programs in a Distributed System: A Specification-Based Approach, PhD thesis, University of California at Davis, 1996. [19] M Ruschitzka., C. Ko, K. Levitt, Execution monitoring of security-critical programs in distributed systems: A specification-based approach, in: Proceedings of the 1997 IEEE Symposium on Security and Privacy, IEEE Computer Society. pp. 175-187, Mayo 1997. Referencia bibliográfica 35 [20] W. Lee, R.A Nimbalkar, A data mining and CIDF based approach for detecting novel and distributed intrusions, in: Proceedings of the 3rd International Workshop on Recent Advances in Intrusion Detection (RAID 2000), Toulouse, France, pp. 49–65, 2000. [21] W. Lee., S.J. Stolfo, K.W. Mok, Adaptive intrusion detection: a data mining approach, Artificial Intelligence Review 14 533–567.2000. [22] R. Grossman, Data Mining: Challenges and Opportunities for Data Mining During the Next Decade. 1997. [23] S.M. Bridges, R.B Vaughn., Fuzzy data mining and genetic algorithms applied to intrusion detection, in: Proceedings of the National Information Systems Security Conference, Baltimore, MD, 2000. [24] W. Li , Using Genetic Algorithm for Network Intrusion Detection, C.S.G. Department of Energy, pp. 1–8, 2004. [25] M.M., Pillai, J.H.P Eloff., H.S. Venter, An approach to implement a network intrusion detection system using genetic algorithms, in: Proceedings of the 2004 Annual Research Conference of the South African Institute of Computer Scientists and Information Technologists on IT Research in Developing Countries, Stellenbosch, Western Cape, South Africa, pp. 221–228, 2004. [26] Gomez J., D. Dasgupta, Evolving fuzzy classifiers for intrusion detection, in: IEEE Workshop on Information Assurance, United States Military Academy, NY, 2001. [27] M. Crosbie, G. Spafford, Applying genetic programming to ntrusion detection, in: Working Notes for the AAAI Symposium on Genetic Programming, Cambridge, MA, pp. 1–8, 1995. [28] M. Ramadas, S.O.B. Tjaden, Detecting anomalous network traffic with self-organizing maps, in: Proceedings of the 6th International Symposium on Recent Advances in Intrusion Detection, Pittsburgh, PA, USA, pp. 36–54, 2003. [29] L. Portnoy, E. Eskin, S.J. Stolfo, Intrusion detection with unlabeled data using clustering, in: Proceedings of the ACM Workshop on Data Mining Applied to Security, Philadelphia, PA, 2001. [30] K. Sequeira, M. Zaki, ADMIT: Anomaly-based data mining for intrusions, in: Proceedings of the 8th ACM SIGKDD International Conference on Knowledge Discovery and Data Mining, Edmonton, Alberta, Canada, pp. 386–395, 2002. Referencia bibliográfica 36 [31] V. Barnett, T. Lewis, Outliers in Statistical Data, Wiley, 1994. [32] S. Ramaswamy, R. Rastogi, K. Shim, Efficient algorithms for mining outliers from large data sets, in: Proceedings of the ACM SIGMOD International Conference on Management of Data, Dallas, TX, USA, pp. 427–438, 2000. [33] M. Breunig, H.-P. Kriegel & R.T. Ng, LOF: identifying density-based local outliers, in: Proceedings of the ACM SIGMOD International Conference on Management of Data, Dallas, TX, pp. 93–104, 2000. [34] E.M. Knorr, R.T. Ng, Algorithms for mining distancebased outliers in large datasets, in: Proceedings of the 24th International Conference on Very Large Data Bases, New York, NY, USA, pp. 392–403, 1998. [35] L. Ertöz, E. Eilertson, The MINDS - Minnesota intrusion detection system, in: Next Generation Data Mining, MIT Press, Boston, 2004. [36] W. Lee, S.J. Stolfo, Data mining approaches for intrusion detection, in: Proceedings of the 7th USENIX Security Symposium (SECURITY-98), Berkeley, CA, USA, pp. 79–94, 1998. [37] W. Lee, S.J. Stolfo, K.W. Mok, A data mining framework for building intrusion detection models, in: Proceedings of the IEEE Symposium on Security and Privacy, Oakland, CA, pp. 120–132, 1999. [38] D. Barbará, J. Couto, ADAM: a testbed for exploring the use of data mining in intrusion detection, ACM SIGMOD Record: SPECIAL ISSUE: Special section on data mining for intrusion detection and threat analysis 30 (2001) 15–24. [39] J. Case, M. Fedor, RFC 1157 - Simple Network Management Protocol (SNMP), [en Internet] disponible en: http://www.faqs.org/rfcs/rfc1157.html, accedido en: Mayo 2008. [40] K. McCloghrie, M. Rose, RFC 1156 - Management Information Base for network management of TCP/IP-based internets, [en Internet] disponible en: http://www.faqs.org/rfcs/rfc1156.html, accedido en: Mayo 2008. [41] T. Oetiker, Tobi Oetiker's MRTG - The Multi Router Traffic Grapher [en Internet] disponible en: http://oss.oetiker.ch/mrtg/doc/index.en.html, accedido en: Abril del 2008. Referencia bibliográfica 37 [42] T. Oetiker, About RRDtool, [en Internet] disponible en: http://oss.oetiker.ch/rrdtool/, accedido en: Abril 2008. [43] H. J. Kim, J. C. Na, J. S. Jang, Network Traffic Anomaly Detection based on Ratio and Volume Analysis, International Journal of Computer Science and Network Security, VOL.6 No.5B, Mayo 2000. Anexos 38 ANEXOS Anexo I Valores de tráfico almacenados en una base de datos. Anexos 39 Anexo II Pronóstico del sistema. Anexo III Número total de anomalías detectadas por el sistema. Anexos 40 Anexo IV Diagrama en bloque del sistema. Declaración de subrutinas Obtención de los valores de la base de datos, y se guardan en @valores Creación de bases de datos Si @entrada; índice ++; No Índice de @valores es par. Conteo de las anomalías; Generación de gráficos; Resultados de las anomalías encontradas @salida; índice ++; Anexos 41 Anexo V Script realizado. #!/usr/bin/perl use POSIX qw / strftime /; use RRDs; ####SUBRUTINAS CREADAS#### sub pronostico #devuelve el valor de Yt+n { $Yt=$_[0]*0.5+(1-0.5)*$_[1]; #$_[0] es Xt; $_[1] es Yt; 0.5 es alfa } sub MAD #devuelve valor de MADt+n { $MAD=abs($_[0]-$_[1])*0.5+(1-0.5)*$_[2]; #$_[0] es Xt; $_[1] es Yt; $_[2] es valor inicial de MAD; } sub for0 { $suma=$_[0]+1*$_[1]; #$_[0] es IN; $_[1] es MADt+n; n=1 } sub for1 { $resta=$_[0]-1*$_[1]; #$_[0] es IN; $_[1] es MADt+n; n=1 } sub actualizar #subrutina para actualizar las bases de datos { RRDs::update("entrada.rrd","$_[0]:$_[1]"); if ($err=RRDs::error) {print "problema actualizado la base de datos: $err\n";} RRDs::update("salida.rrd","$_[0]:$_[2]"); if ($err=RRDs::error) {print "problema actualizado la base de datos: $err\n";} Anexos 42 RRDs::update("dpsin.rrd","$_[0]:$_[3]"); if ($err=RRDs::error) {print "problema actualizado la base de datos: $err\n";} RRDs::update("dpiin.rrd","$_[0]:$_[4]"); if ($err=RRDs::error) {print "problema actualizado la base de datos: $err\n";} RRDs::update("dpsout.rrd","$_[0]:$_[5]"); if ($err=RRDs::error) {print "problema actualizado la base de datos: $err\n";} RRDs::update("dpiout.rrd","$_[0]:$_[6]"); if ($err=RRDs::error) {print "problema actualizado la base de datos: $err\n";} } sub graficos { RRDs::graph("trafico.png","--start=1213877100","--color","BACK#CCCCCC","-color","CANVAS#FFFFFF","--color","SHADEB#9999CC","--height","125","--upperlimit","100000000","--lower-limit","0","--rigid","-base","1024","DEF:in_bytes=10.12.24.254_25.rrd:ds0:AVERAGE","CDEF:in_bits=in_byt es,8,*","LINE:in_bits#00FF00:Tráfico de entrada","DEF:out_bytes=10.12.24.254_25.rrd:ds1:AVERAGE","CDEF:out_bits=out_byte s,8,*","LINE:out_bits#0000FF:Trafico de salida","--title=Tráfico de entrada y salida","-vertical-label=bit/s"); if ($err=RRDs::error) {print "problema generando el grafico:$err\n";} RRDs::graph("desviacionin.png","--start=1213877100","--end=1213897800","-color","BACK#CCCCCC","--color","CANVAS#FFFFFF","-color","SHADEB#9999CC","--height","125","--upper-limit","100000000","--lowerlimit","0","--rigid","-base","1024","DEF:in_bytes=10.12.24.254_25.rrd:ds0:AVERAGE","CDEF:in_bits=in_byt es,8,*","LINE:in_bits#00FF00:Tráfico de entrada","DEF:dpsin_bytes=dpsin.rrd:ds0:AVERAGE","CDEF:dpsin_bits=dpsin_bytes,8,* ","LINE:dpsin_bits#FF0000:Desviación superior","DEF:dpiin_bytes=dpiin.rrd:ds0:AVERAGE","CDEF:dpiin_bits=dpiin_bytes,8,* ","LINE:dpiin_bits#0000FF:Desviación inferior","--title= Tráfico de entrada con su desviación","--vertical-label=bit/s"); Anexos 43 if ($err=RRDs::error) {print "problema generando el grafico:$err\n";} RRDs::graph("desviacionout.png","--start=1213877100","--end=1213897800","-color","BACK#CCCCCC","--color","CANVAS#FFFFFF","-color","SHADEB#9999CC","--height","125","--upper-limit","100000000","--lowerlimit","0","--rigid","-base","1024","DEF:in_bytes=10.12.24.254_25.rrd:ds1:AVERAGE","CDEF:in_bits=in_byt es,8,*","LINE:in_bits#FF0000:Tráfico de salida","DEF:dpsout_bytes=dpsout.rrd:ds0:AVERAGE","CDEF:dpsout_bits=dpsout_bytes, 8,*","LINE:dpsout_bits#00FF00:Desviación superior","DEF:dpiout_bytes=dpiout.rrd:ds0:AVERAGE","CDEF:dpiout_bits=dpiout_byte s,8,*","LINE:dpiout_bits#0000FF:Desviación inferior","--title= Tráfico de salida con su desviación","--vertical-label=bit/s",”VRULE:$_[0]:FFFFFF”,”VRULE:$_[1]:FFFFFF”); if ($err=RRDs::error) {print "problema generando el grafico:$err\n";} } my $i=0; my $j=0; my $start_time=time()-27000; ####OBTENIENDO LOS DATOS DE UNA BASE DE DATOS#### my ($start,$step,$names,$data) = RRDs::fetch("10.12.24.254_25.rrd","AVERAGE","s","1213877100","-e","1213897800"); if ($err=RRDs::error) {print "problema obteniendo los datos: $err\n";} print "Start: ", scalar localtime($start), " ($start)\n"; print "Step size: $step seconds\n"; print "DS names: ", join (", ", @$names)."\n"; print "Data points: ", $#$data + 1, "\n"; print "Data:\n"; $graph_start=$start; foreach my $line (@$data) { print "$j"; print " ", scalar localtime($start), " ($start) "; Anexos 44 $start += $step; foreach my $val (@$line) { $valores[$i]=$val; printf "%12.1f ", $val; $i++; } print "\n"; $j++; } ####DIVIDIENDO LOS DATOS DE ENTRADA Y SALIDA#### my $j=0; for ($i=0;$i<=$#valores;$i++) { if (($i%2)==0) { $entrada[$j]=$valores[$i]; } else { $salida[$j]=$valores[$i]; $j++; } } ###OPCIÓN PARA COMPROBAR LOS VALORES ALMACEBADOS####. #for ($i=0;$i<=$#entrada;$i++) #{ #print "$i valores en la salida $entrada[$i]\n"; #} sleep(5); Anexos 45 ####CREANDO LAS BASE DE DATOS#### RRDs::create("entrada.rrd","-b","$graph_start","s","300","DS:ds0:GAUGE:600:0:U","RRA:AVERAGE:0.5:1:24","RRA:AVERAGE:0.5:1 :288","RRA:AVERAGE:0.5:1:2016","RRA:AVERAGE:0.5:1:8928"); if ($err=RRDs::error) {print "problema creando la base de dato: $err\n";} RRDs::create("salida.rrd","-b","$graph_start","s","300","DS:ds1:GAUGE:600:0:U","RRA:AVERAGE:0.5:1:24","RRA:AVERAGE:0.5:1, 288","RRA:AVERAGE:0.5:1:2016","RRA:AVERAGE:0.5:1:8928"); if ($err=RRDs::error) {print "problema creando la base de dato: $err\n";} RRDs::create("dpsin.rrd","-b","$graph_start","s","300","DS:ds0:GAUGE:600:0:U","RRA:AVERAGE:0.5:1:24","RRA:AVERAGE:0.5:1 :288","RRA:AVERAGE:0.5:1:2016","RRA:AVERAGE:0.5:1:8928"); if ($err=RRDs::error) {print "problema creando la base de dato: $err\n";} RRDs::create("dpiin.rrd","-b","$graph_start","s","300","DS:ds0:GAUGE:600:0:U","RRA:AVERAGE:0.5:1:24","RRA:AVERAGE:0.5:1 :288","RRA:AVERAGE:0.5:1:2016","RRA:AVERAGE:0.5:1:8928"); if ($err=RRDs::error) {print "problema creando la base de dato: $err\n";} RRDs::create("dpsout.rrd","-b","$graph_start","s","300","DS:ds0:GAUGE:600:0:U","RRA:AVERAGE:0.5:1:24","RRA:AVERAGE:0.5:1 :288","RRA:AVERAGE:0.5:1:2016","RRA:AVERAGE:0.5:1:8928"); if ($err=RRDs::error) {print "problema creando la base de dato: $err\n";} RRDs::create("dpiout.rrd","-b","$graph_start","s","300","DS:ds0:GAUGE:600:0:U","RRA:AVERAGE:0.5:1:24","RRA:AVERAGE:0.5:1 :288","RRA:AVERAGE:0.5:1:2016","RRA:AVERAGE:0.5:1:8928"); if ($err=RRDs::error) {print "problema creando la base de dato: $err\n";} ####LLAMADAS DE LAS SUBRUTINAS#### $in=$entrada[0]; $out=$salida[0]; $const_entrada=0; $const_salida=0; # valor iniciales de MAD Anexos 46 ####CONTADORES DE ANOMALÍAS Y ACTULIZACIÓN DE LAS BASES#### my $k=0; my $l=0; my $n=0; my $m=0; $tiempo= POSIX::floor(time()/300)*300-105300; #inicialización del tiempo de la base de datos de almacenamiento for($i=0;$i<=$#entrada;$i++) { if ($entrada[$i]== 0.0) { $entrada[$i]=0; } if ($salida[$i]==0.0) { $salida[$i]=0; } $j=$i+1; print "tiempo: ", scalar localtime($tiempo), " ($tiempo)\n"; print "tiempo: ", scalar localtime($graph_start), " ($graph_start)\n"; print "####VALORES INICIALES###\n"; print " Yt+$i Xt+$i print "entrada: $in $entrada[$i] print "salida: $out $salida[$i] MADt+$i\n"; $const_entrada\n"; $const_salida\n"; $MAD_entrada[$i]=&MAD($entrada[$i],$in,$const_entrada); $const_entrada=$MAD_entrada[$i]; $MAD_salida[$i]=&MAD($salida[$i],$out,$const_salida); $const_salida=$MAD_salida[$i]; $valor_entrada[$i]=&pronostico($entrada[$i],$in); $in=$valor_entrada[$i]; $valor_salida[$i]=&pronostico($salida[$i],$out); Anexos 47 $out=$valor_salida[$i]; print " print " ###Pronosticos###\n"; Yt+$j print "entrada: $in print "salida: $out MADt+$j\n"; $MAD_entrada[$i]\n"; $MAD_salida[$i]\n"; $dpsin=&for0($in,$const_entrada); $dpiin=&for1($in,$const_entrada); $dpsout=&for0($out,$const_salida); $dpiout=&for1($out,$const_salida); &actualizar($tiempo,$in,$out,$dpsin,$dpiin,$dpsout,$dpiout); if ((&for1($in,$const_entrada)) <= $entrada[$j] && (&for0($in,$const_entrada)) <=$entrada[$j] ) { print "anomalia detectada por el aumento del trafico\n"; $anomalia_in_aumento[$k]=$graph_start; $k++; } if ((&for0($in,$const_entrada)) >= $entrada[$j] && (&for1($in,$const_entrada)) >= $entrada[$j]) { print "anomalia detectada por la disminucion del trafico\n"; $anomalia_in_disminucion[$l]=$graph_start; $l++; } if ((&for1($in,$const_entrada)) <=$entrada[$j] && &for0($in,$const_entrada)>=$entrada[$j] ) { print "el valor esta en rango\n"; } Anexos 48 if ((&for1($out,$const_salida)) <= $salida[$j] && (&for0($out,$const_salida)) <=$salida[$j] ) { print "anomalia detectada por el aumento del trafico\n"; $anomalia_out_aumento[$n]=$graph_start; $n++; } if ((&for0($out,$const_salida)) >= $salida[$j] && (&for1($out,$const_salida)) >= $salida[$j]) { print "anomalia detectada por la disminucion del trafico\n"; $anomalia_out_disminucion[$m]=$graph_start; $m++; } if ((&for1($out,$const_salida)) <=$salida[$j] && &for0($out,$const_salida)>=$salida[$j] ) { print "el valor esta en rango\n"; } $tiempo+=300; $graph_start+=300; sleep(2); } &graficos (@anomalia_out_aumento, @anomalia_out_disminucion); ####OPCIÓN PARA VISUALIZAR LOS DATOS ALMACEBADOS#### #my $start_time=time()-18000; #print "\n"; #my ($start,$step,$names,$data) = RRDs::fetch("dpsin.rrd","AVERAGE","s","$start_time"); #if ($err=RRDs::error) {print "problema obteniendo los datos: $err\n";} #print "Start: ", scalar localtime($start), " ($start)\n"; Anexos 49 #print "Step size: $step seconds\n"; #print "DS names: ", join (", ", @$names)."\n"; #print "Data points: ", $#$data + 1, "\n"; #print "Data:\n"; #foreach my $line (@$data) #{ #print " ", scalar localtime($start), " ($start) "; #$start += $step; #foreach my $val (@$line) #{ #$valores[$i]=$val; #printf "%12.1f ", $val; #$i++; #} print "\n"; } print"\n"; ####RESULTADO#### print "anomalías detectadas a la entrada por el aumento del tráfico\n"; for ($i=0;$i<=$#anomalia_in_aumento;$i++) { print "",scalar localtime($anomalia_in_aumento[$i]), "\n"; } print "\nanomalías detectadas en la entrada por la disminución del tráfico\n"; for ($i=0;$i<=$#anomalia_in_disminucion;$i++) { print "",scalar localtime($anomalia_in_disminucion[$i]), "\n"; } print "\nanomalías detectadas a la salida por el aumento del tráfico\n"; for ($i=0;$i<=$#anomalia_out_aumento;$i++) { Anexos 50 print "",scalar localtime($anomalia_out_aumento[$i]), "\n"; } print "\nanomalías detectadas en la salida por la disminución del tráfico\n"; for ($i=0;$i<=$#anomalia_out_disminucion;$i++) { print "",scalar localtime($anomalia_out_disminucion[$i]), "\n"; } $total=$#anomalia_in_aumento+$#anomalia_in_disminucion+$#anomalia_out_disminucio n+$#anomalia_out_aumento+4; print "\npara un total de $total anomalías detectadas"; Glosario técnico 51 GLOSARIO TÉCNICO ANDSOM Anomalous Network-Traffic Detection with Self Organizing Maps. CPU Unidad Central de Procesamiento (Central Processing Unit). DoS Denegación de Servicios (Denial of Service). DS Dato Fuente (Data Source). EPS PostScript Encapsulado (Encapsulated PostScript). FIRE Fuzzy Instrusion Recognition Engine. GIF Formato Grafico de Intercambio (Graphics Interchange Format). GNU GPL Licencia Pública General de GNU (GNU General Public License). HTML Lenguaje de Marcado de Hipertexto (HyperText Markup Language). INTERNET Red de Redes (International Net). IP Protocolo de Internet (Internet Protocol). LOF Factor Local de Aislamiento (Local Factor Outlier). MIB Bases de Información de Administración (Management Information Base). MINDS Sistema de Detección de Intrusos Minnesota. (Minnesota Intrusion Detection System) MRTG Graficado de Tráfico de Múltiples Enrutadores (Multi Router Traffic Grapher). OID Identificador de Objetos (Object IDentifier). PCA Análisis de Componentes Principales (Principal Components Analysis). PDF Formato de Documento Portátil (Portable Document Format). Glosario técnico PERL 52 Lenguaje Práctico para la Extracción e Informe. (Practical Extraction and Report Language). PHP Pre-procesador de Hipertexto (Hypertext Pre-processor) PNG Gráficos Portables de Red (Portable Network Graphics). RFC Petición de Comentarios (Request For Comments). RRDtool Herramienta de Base de Datos Circulares (Round Robin Database tool). SNMP Protocolo Simple de Administración de Red (Simple Network Management Protocol). SVD Descomposición de Valor Singular (Singular Value Decomposition). TcL Lenguaje de Herramienta de Comando (Tool Command Language) TCP Protocolo de Transmisión de Control (Transmission Control Protocol).
