Key points are not available for this paper at this time.
Aktuelle Intrusionsdetektions- und -verhütungssysteme versuchen, eine breite Klasse von Netzwerkintrusionen (z. B. DoS-Angriffe, Würmer, Portscans) an Netzwerkstandorten zu erkennen. Leider halten alle IDS-Systeme, die uns bekannt sind, pro Verbindung oder pro Fluss Zustand. Daher ist es kaum überraschend, dass IDS-Systeme (außer Signaturerkennungsmekanismen) nicht auf Multigigabit-Geschwindigkeiten skaliert werden konnten. Im Gegensatz dazu ist zu beachten, dass sowohl Routerabfragen als auch faires Queuing mit Aggregation durch Präfixabfragen oder DiffServ auf hohe Geschwindigkeiten skaliert wurden. Daher beginnen wir in diesem Papier mit der Forschung zur Frage, ob man Angriffe erkennen kann, ohne den Zustand pro Fluss zu halten. Wir werden zeigen, dass eine solche Aggregation, während sie schnelle Implementierungen ermöglicht, sofort zwei Probleme verursacht. Erstens kann Aggregation zu Verhaltensaliasing führen, bei dem beispielsweise gute Verhaltensweisen aggregiert werden, sodass sie wie schlechte Verhaltensweisen erscheinen. Zweitens sind aggregierte Schemen anfällig für Spoofing, bei dem der Angreifer Angriffe mit angemessenem aggregierten Verhalten sendet. Wir untersuchen eine Vielzahl von DoS-Angriffen und zeigen, dass mehrere Kategorien (bandbreitenbasiert, Forderung-und-Halten, Host-Scanning) skalierbar erkannt werden können. Im Gegensatz dazu scheint es, dass heimliches Port-Scanning nicht skalierbar erkannt werden kann, ohne den Zustand pro Fluss zu halten.
Kompella et al. (Mon,) haben diese Frage untersucht.