DDOS – Détection et passivation des DDoS DDOS : Detection and

TITRE DU PROJET :
DDOS – Détection et passivation des DDoS
PROJECT TITLE:
DDOS : Detection and passivation
NOM DE CODE :
20/ DDOS
NAME CODE:
20/DDOS
RESPONSABLE DU PROJET (avec e-mail) :
PROJECT COORDINATOR (with e-mail):
SYLVAIN GOMBAULT ([email protected])
COMPOSITION DE L’EQUIPE ET ORIGINE :
TEAM MEMBERS WITH AFFILIATION:
HERVÉ DEBAR, EMMANUEL BESSON, HERVÉ SIBERT - FRANCE TELECOM R&D
FRÉDÉRICC CUPPENS - ENST BRETAGNE
OLIVIER PAUL - TELECOM INT
AHMED SERHROUCHNI, JEAN LEFEUVRE - ENST
MOTS CLÉS :
DDOS, sécurité des réseaux, Internet, raffinement des signatures,
pare-feu, contrôle díaccès, passivation
KEY WORDS:
DDOS, Network security, Internet, refinement of signatures, firewall,
access control, passivation
RESUME :
ABSTRACT:
En parallèle à la réalisation de l’état de l’art (livrable 0), le projet a
débuté par le déploiement en laboratoire des différents outils DDoS
récupérés sur internet. Nous avons capturé le trafic utile au pilotage
des attaques distribuées et celui généré vers les cibles afin d’en
disposer sous forme de fichiers pour la suite du projet. En accord
avec FT R&D, nous avons proposé deux solutions pour détecter et
caractériser les flux DDoS côté victime : l’une concerne l’analyse de
requêtes http (livrables 1), et l’autre la recherche des invariants
caractérisant une saturation udp (livrable 3), Nous avons par ailleurs
utilisé la corrélation de plusieurs événements pour détecter et
interrompre l’attaque (livrable 2). Nous avons également étudié si les
pots de miels fournissaient un environnement pertinent à la
découverte de nouveaux DDoS (livrable 4). Un logiciel (geff) a été
réalisé dans la tâche 3 et une expérimentation est envisagée avec FT
R&D sur la base de trafic réel.
This project has started with a state of the art describing the tools
used to run DDoS (Distributed Deny of Service) attacks, and the
major techniques used to defend a site or a network against such
attacks (deliverable 0). In parallel, we have collected the major DDoS
tools and experienced them in our laboratory. Then, with the
agreement of FT R&D, two solutions are proposed to detect DDoS
traffic in the victim side. The first one analyses web transactions
(deliverable 1) with bayesian networks to detect DDoS attacks against
web services. The other is dedicated to udp flooding detection
(deliverable 3). We have also proposed a method using correlation to
prevent the DDoS attacks (deliverable 2). Finally, a feasibility of using
honeypots or honeynets to detect new DDoS forms is performed
(deliverable 4). A software tool called geff (generic flow filter) has
been developed (task 3) and FT R&D is considering it for a test in an
operational network.
REFERENCES:
L
SITE PUBLIC DU PROJET : http://bscw.enst-bretagne.fr/pub/bscw.cgi/0/3022800
____________________________________________________________________________________________________________________________________________
Groupe des Ecoles des télécommunications -Direction Scientifique - Actions de recherche sur crédits incitatifs campagne 2004