Unità Sapienza. CIS Sapienza. gruppo Sistemi Distribuiti e Middleware. Leonardo Querzoni querzoni@dis.uniroma1.it

Transcript

1 Unità Sapienza gruppo Sistemi Distribuiti e Middleware querzoni@dis.uniroma1.it Research Center for Cyber Intelligence and information Security

2 CIS Personale strutturato: Roberto Baldoni Roberto Beraldi Silvia Bonomi Post-doc Studenti di dottorato: Aniello Giuseppe Antonio Di Luna Fabio Petroni 2

3 CIS Precedenti esperienze PRIN DOTS-LCCI Progetto EU CoMiFin Collaborazioni con Selex SI MEF ACEA 3

4 Interessi in ambito TENACE Middleware ad eventi sicuri overlay network tomography spam detection Failure/attack prediction/identification in sistemi complessi Misinformation Containment in Corporate Social Networks Collaborative port-scan detection 4

5 Interessi in ambito TENACE Molte infrastrutture critiche impiegano middleware ad eventi interazione asincrona tra processi tolleranza rispetto a guasti disaccoppiamento/indirezione adatto allo sviluppo di sistemi event-driven Alcuni di questi middleware potrebbero esporre i sistemi che li adottano ad alcuni rischi. 5

6 Middleware ad eventi sicuri Problema: È possibile inferire informazione sulla struttura interna del middleware ad eventi distribuito solo osservando la sua risposta a sollecitazioni esterne? Un attaccante potrebbe sfruttare questa informazione per organizzare attacchi mirati alle strutture interne del middleware di comunicazione (es: event routers) Overlay network tomography 6

7 Middleware ad eventi sicuri Problema: In un sistema complesso di larga scala le fonti di informazioni producono dati con livelli qualitativi differenti. È possibile valutare in modo semplice la qualità delle fonti per escludere quelle che producono rumore (spam)? È possibile definire meccanismi automatizzati per data publisher reputation 7

8 Failure/attack prediction Alcuni sistemi mostrano pattern di guasto complessi. Monitorando alcune metriche è possibile anticipare il verificarsi del guasto System State Inferred Real System State Service Failure Prediction time to prediction time to failure Unsafe State Safe State Time (seconds)

9 Identificazione dell attaccante Consideriamo una rete di entità cooperanti I nodi nella rete comunicano in maniera anonima e favoriscono il propagarsi di informazioni All interno della rete possiamo avere dei traditori Propagano cattiva informazione Denial of service... Problema: Trovare il sottoinsieme minimo di nodi che mi consente di identificare il traditore 9

10 Misinformation containment Oramai tutte le grandi corporate hanno il loro social network Questo social network si affianca alle normali relazioni gerarchiche L organigramma interno dell azienda implica che l informazione abbia la certezza di essere assunta come veritiera se propagata dall alto verso il basso della gerarchia. Può l uso di un social network aiutare il contenimento della misinformazione nelle corporate? 10

11 Misinformation containment Tre problemi: 1. Cliques Discovery 2. Weak Nodes Discovery (quali sono i nodi più influenti dal punto di vista dello spreading dell informazione, possibili vittime di insiders) 3. Initial Treat Set (il miglior set di nodi da cui far partire una campagna di correzione in caso di misinformazione) 11

12 Collaborative portscan detection Le attività di portscan detection sono fondamentali per poter prevenire possibili attacchi. Le moderne tecniche usate dagli attaccanti sfruttano reti di computer zombie per evitare una semplice identificazione L uso di portscan distribuiti su larga scala mira a confondere l attività con il rumore di fondo dato dall uso legittimo dei servizi attivi Idea: usare un approccio collaborativo tra più domini amministrativi 12

13 Collaborative portscan detection Graph status updates Console Collaborative Analysis Collaborative Graph -Similarity Based Clustering -Separation Algorithm Potential Group Attack (PGAs) Network Domain N Network Domain 2 Network Domain 1 DB Failures History Local Attack Graph Slow Nor Fast Trigger (slow/normal/fast + port) Failures Filtering Failure Network Alert Generator Failures Event Correlation Connection Sniffing Network 13

14 TENACE Middleware ad eventi sicuri overlay network tomography spam detection Failure/attack prediction/identification in sistemi complessi Misinformation Containment in Corporate Social Networks Collaborative portscan detection 14