Characteristics of Buffer Overflow Attacks Tunneled in HTTP Traffic

protocol tunneling, network vulnerabilities, buffer overflow, obfuscation, NBA, AIPS, ASNM

Účelem článku je popsat vlastnosti obfuskovaných síťových buffer overflow útoků  v kontrastu s vlastnostmi přímo simulovaných útoků. Obfuskace byla provedena tunelováním škodlivého provozu v protokolech HTTP a HTTPS. Tyto protokoly obalují škodlivou komunikaci mezi útočníkem nacházejícím se mimo intranetu a callback modulem umístěném uvnitř intranetu. Detekční analýza, kterou provádíme, je založena na extrakci rysů z dumpů síťových paketů a využívá behaviorální a statistickou analýzu průběhu komunikací v časové a indexové doméně. Byly provedeny experimenty ve čtyřech scénářích realizujících traffic shaping, traffic policing a přenos na nespolehlivém síťovém kanálů tak, aby vlastnosti přímých útoků a obfuskovaných útoků byly co nejvíce rozmanité. V další části tohoto článku je popsané srovnání klasifikace obfuskovaných a přímých útoků  s využitím našich dříve navržených ASNM síťových metrik a též state-of-the-art sadou diskriminátorů A. Moore, které představují statisticky a behaviorálne založené experimentální akademické metody pro NBA. Prezentované výsledky vykazují lepší úspěšnost klasifikace ASNM metrik v případě všech druhů experimentů.