Radyo bağlantıları saldırı tespit göre iletişim ağı içine, saldırı tespit işlemidir radyo dalgası . Saldırı tespiti, izinsiz girişi önleme ve saldırı toleransına ek olarak veya bunları destekleyen mevcut bilgi sistemlerinin güvenliğinin temellerinden biridir.
Kablosuz teknolojilerin ( WLAN ağları , cep telefonları dahil) hızlı yayılması , temel olarak daha düşük kurulum ve bakım maliyetlerinden kaynaklanmaktadır. Saldırı tespiti genellikle izinsiz girişi önleme mekanizmasından sonra gelir . İkincisi, bir ağa yetkisiz erişimi önlemekten sorumludur (esas olarak veri şifreleme ve kimlik doğrulama mekanizmalarını kullanarak). Yetkisiz erişim, saldırı önleme sistemine rağmen yapılırsa, saldırı tespit sisteminin rolü, bu tür bir erişimin gerçekleştiğini tespit etmektir. Saldırı tespit sistemleri ilk olarak kablolu kurumsal ve organizasyonel ağlar için kullanıldı. Günümüzde bu tür sistemlerin kablosuz ağlarda kullanılması, gerekli değilse şiddetle tavsiye edilmektedir. Kablolu ağlara kıyasla kablosuz ağların güvenliğini sağlarken karşılaşılan temel zorluk, fiziksel veri taşıma ortamlarının değişkenliğidir. Kablosuz ağlar, radyo dalgaları aracılığıyla doğaları gereği yayınlandığı ve bu nedenle engellenmesi (pasif saldırı olarak adlandırılır) veya yollarla bozulması muhtemel olduğundan, her iki kablolu ağ da bir saldırganın erişimini engelleyen az ya da çok önemli güvenlik mekanizmalarına sahip bir binanın sınırları içindedir. ortamda değiştirilen / değiştirilen enjekte edilen veriler (aktif saldırı: genellikle karıştırma olarak adlandırılır ).
Aşağıdakiler dahil, aşağıda listelenen tekniklerden bazılarını kullanmanıza izin veren araçlar vardır:
Farklı kablosuz ağ mimarisi türleri vardır. Kablosuz teknolojiler, altta yatan ve halihazırda mevcut olan kablolu ağlara bağlı olan altyapı ağları (Wifi genellikle bu modda, erişim sağlayıcılarının kablolu ağıyla çalışır) ve geçici tip ağlar veya cihazlar iletişim kurabilen iki ana kategoriye ayrılabilir. bilgileri aktarmak için merkezi bir düğüme veya erişim noktasına ihtiyaç duymadan birbirleriyle. Belirli tespit teknikleri (aşağıda ... bölümünde detaylandırılmıştır) bir mimariye diğerlerinden daha özeldir. Bugün aşağıdaki alt mimarileri bulabiliriz:
Ayrıca, bazı alt mimariler, belirli katmanlarda diğerlerine göre daha savunmasızdır. Basit bir örnek, ağdaki düğümlerin hareketlerinin sürekli olarak veri yönlendirmesini değiştirdiği mobil ad hoc ağlar ( MANET'ler ) için dinamik yönlendirme sistemidir . Tablo güdümlü yönlendirme protokolleri durumunda (tüm düğümlerin her zaman yerel olarak ağ yollarının eksiksiz bir sürümüne sahip olduğu), düğümler kullanılacak yeni yollar ile birbirleriyle iletişim kurar. Böylece bir saldırganın verileri kendisine yönlendirmek için yanlış yollar iletmesi mümkündür.
Saldırı tespit sistemlerinin tümü, bir izinsiz giriş olup olmadığını tespit etmek için analiz edilmesi gereken bir veya daha fazla veri setine dayanır. Veri kümesi, sistem günlüklerinden, uygulama günlüklerinden veya ağ üzerinden iletilen veya alınan verilerden olabilir. Bir bilgi sisteminin genel güvenlik seviyesi, sistemdeki en zayıf bağlantının güvenlik seviyesi tarafından tanımlandığından, izinsiz giriş tespit araştırması esas olarak çok katmanlı tespit etmeye yöneliktir. Bu nedenle, birçok çalışma, OSI modelinin ağ katmanı gibi sistemin belirli katmanlarında algılama mekanizmaları önerirken, diğerleri birkaç katman üzerinde algılama mekanizması modelleri önerir. Bu son mekanizmalar, bir ilk analizi gerçekleştirir ve örneğin bir aktarım sırasında analizle ilgili bilgileri daha düşük bir katmana aktarabilir. Bu nedenle, olası bir anormalliğin OSI modelinin yalnızca belirli bir katmanında saptanması, bir saldırı algılamasını mümkün kılabilir ve algılama modüllerinin daha iyi bölümlendirilmesini sağlayabilir.
Radyo bağlantılarıyla yapılan bir iletişimde , iletilerin değiştirilmesi veya bozulması vericiler arasındaki iyi iletişimi tehlikeye atması gibi, verilerin gizliliği için gizli dinleme kritik önem taşır. Sözde TRANSEC (İletim güvenliği için) mekanizmaları uygulamaya konmuştur. Bu mekanizmalar aşağıdaki beş aşamadan oluşur:
Radyo iletişiminde kullanılan tanımlama yöntemlerinden biri radyo parmak izidir. Aslında, radyo iletişiminde, bir veri öğesinin izinsiz giren veya yetkilendirilmiş bir düğümden gelip gelmediğini bilmek teorik olarak mümkün değildir. Bu, örneğin, bir aygıtın bir MAC adresinin kablosuz ağdaki diğer aygıtları taklit edecek şekilde değiştirildiği WLAN'larda MAC adresi sahtekarlığı durumunda geçerlidir. Radyo parmak izi, benzersiz ve değiştirilemez parmak izi sayesinde her bir ağ cihazını ayırt etmeyi mümkün kılan bir tanımlama tekniğidir (çünkü donanım düzeyinde her cihaz tarafından yayılan sinyaldeki değişikliklere özgüdür). Teknik olarak iki yöntem böyle bir tanımlamaya izin verebilir:
Geçici tanıma, ekipmanın yalnızca sinyal iletim geçişinin yokluğunu / mevcudiyetini (radyo vericisini çalıştırmanın başlangıcı) analiz ederek tanımlanmasını sağlar. Başlangıçta modelin yanı sıra ekipman üreticisini bulmak için kullanılan son araştırmalar, ekipmanı aynı model / üreticinin diğer ekipmanları arasında benzersiz bir şekilde tanımlamanın da mümkün olduğunu göstermektedir. Modülasyon tanımlaması, vericinin frekans modülasyonu seviyesinde tuhaflıkları / kusurları analiz ederek yalnızca ekipmanı tanımlamaya izin verir. Bu nedenle, bu tür bir yöntemi doğrudan uyarmak veya örneğin bir WLAN gibi bir ağda sahtekarlığa izin veren olası sahte çerçeveleri fiziksel katman düzeyinde tespit etmeyi mümkün kılan yeni bir veri seti sağlamak için kullanmak mümkündür. .
Sıkışma tespiti, kablosuz ağlarda fiziksel katmanda (veya hatta daha karmaşık bir saldırı için MAC katmanında), radyo karıştırması olarak bilinen hizmet reddi saldırılarını tespit etmek ve karşı koymak için kullanılır . (İngilizce'de sıkışma). Bazı çalışmalar, kendi kablosuz iletişimlerinin performansını veya güvenliğini artırmak için parazit oluşturma olasılığını gösterirken, parazitin varlığı genellikle kişinin karşı koymak istediği bir olgudur. Sıkışma algılamasını etkinleştirmek için, yaygın olarak kullanılan birkaç ölçüm, iki radyo vericisi arasında iletilen / alınan verilerin kalitesi hakkında bilgi sağlar.
Sinyal gücü bize bir kanaldaki yayınların kullanımı hakkında bilgi verebilir. Sinyal gücüne dayalı iki yöntem sunulmaktadır. Birincisi, N örneklik bir pencere üzerinden algılanan sinyalin gücünün ortalaması veya toplamı hesaplanarak kullanılır. İkinci yöntem, sinyalin gücünü hesaplamak için isteğe bağlı olarak farklı bir işlemin uygulanabildiği sinyal spektrumunun N örneğini kullanır. Bu tekniğin dezavantajı, ortam üzerinden sürekli olarak aynı sinyalin gönderildiği sabit sinyal girişiminin saptanması için daha uygun olmasıdır.
Gönderilmesi amaçlanan ve MAC katmanının bir kuyruğunda bulunan paketler, ortamın serbest olmadığı, başka bir ekipman tarafından kullanılmadığı veya muhtemelen CSMA protokolleri sınıfı (Carrier Sense Multiple Access için) gibi girişime maruz kaldığı sürece. . Her paketin, paketin gönderilmeden kuyruktan çıkarıldığı ortama gönderilmesi için belirli bir süre verilir. Gönderilmesi amaçlanan paketlerin / gerçekte gönderilen paketlerin oranı Pack, Paket Gönderme Oranı (veya gönderilen paketlerin oranı) için PSR olarak adlandırılır. Bu yöntemin dezavantajı, tıkanıklık fenomenini CSMA protokolü üzerinde aynı etkilere sahip olan girişim fenomeninden ayırt etmeyi mümkün kılmamasıdır.
Karıştırıcının, belirli bir ekipmanın veri iletiminin gerçekleştirilmesini beklediği reaktif sıkışma durumunda anında bozucu sinyalini göndermesi durumunda, meşru alıcı tarafından bir paket alındığında, uygulamaya ulaşmak için tüm ağ katmanlarından geçer. alıcının seviyesi. Katmanlardan biri, MAC katmanında CRC (döngüsel artıklık kontrolü için) hatası gibi bir hata tespit ederse, paket atılır. Kabul edilen paketlerin / reddedilen paketlerin oranına Paket Teslim Oranı (veya teslim edilen paketlerin oranı) için PDR denir. Bu yöntemin dezavantajı, üretilen fenomeni, örneğin iki ekipman öğesi arasında çok büyük bir mesafeyle ayırt etmeyi mümkün kılmamasıdır.
Girişim tespiti, yayılmış spektrum teknolojisini kullanabilir . Belirli bir düzeyde veri gizliliğine izin vermek için bir radyo iletişim kanalına (GSM, Wifi, uydu ağları, vb. Kullanılan) çoklu erişime izin vermek için kullanılan birkaç tür yayılı spektrum yöntemi vardır. sıkışma / girişim.
Yayılı spektrum, doğrudan sıralı parazit saptanması için kullanılan çok sayıda yöntem yayılı spektrum biridir. Bu yöntemde, PN kodu olarak adlandırılan (Sözde Gürültü kodu için) her bir kullanıcı / verici için n 1 ve −1 sözde rasgele ve benzersiz bir dizi kullanırız. Her iki taraf da bu koda sahip olmalıdır. İletim sırasında, temel sinyalin periyodu n ile çarpılır. Ortaya çıkan her periyot için, temel sinyal, bu periyot için numaraya sahip olan dizideki değere bağlı olarak 1 veya −1 ile çarpılır. Alım tarafında, temel sinyali (1 x 1 = 1, -1 x -1 = 1) kurtarmak için aynı adım gerçekleştirilir. Gizli anahtarın her iki tarafı tarafından bu yöntemin önceden bilgisi olmadan kullanılmasına izin veren varyantlar vardır.
Frekans sıçrama yayılma spektrumlu doğrudan dizi yönteminde olduğu gibi, ancak temel bir başka frekanslarda belirli bir frekansta dönemlerde çoğaltması bu kez kullanmaması spektrum yayma için bir yöntemdir. Dolayısıyla, bir verici bir alıcıya bir sinyal göndermek isterse, ikisinin bir frekans dizisi üzerinde anlaşması gerekir. Alıcı iyileştikçe verici, sinyali bu frekanslar üzerinden gönderir. Bu yöntemin, çoklu yol (İngilizce'de çok yollu ) veya solma (İngilizce'de zayıflama ) gibi çeşitli kablosuz iletişim sorunlarına da yanıt vermesine ek olarak, genellikle bir frekans benzersiz.
İmza tabanlı, anormallik tabanlı veya itibara dayalı algılama olan kablosuz saldırı algılama sistemlerinde başlıca üç tür tarama vardır.
İmza tabanlı algılama, kullanılan sisteme yapılan en ünlü saldırıların imzalarını içeren saldırı sözlüğü olarak da adlandırılan bir veritabanı kullanan bir algılama analizidir. Bu tespit tekniğinin çok düşük bir yanlış pozitif oranına sahip olduğu bilinmektedir. Bununla birlikte, yeni saldırı türleri için daha yüksek bir yanlış negatif oranına sahip olduğu da bilinmektedir.
Anormallik tabanlı algılama, bir izinsiz giriş olup olmadığını tespit etmek için belirli ağ trafiği verilerindeki sınır değerleri kullanan bir algılama tekniğidir. Böyle bir tespit için bazen makine öğrenimi gibi daha modern yöntemler kullanmak gerekir . İlke, bir saldırı tespit sistemine bir dizi ağ trafiği verisi sağlamaktır . Bu veri seti normal / yetkili trafik olarak kabul edildiğinden, makine öğrenimi, ağ trafiğini bir kategoride veya başka bir kategoride (burada normal veya anormal kategori) sınıflandırmayı mümkün kılan özellikler üzerinde sınır değerleri belirleyebilir. Diğer araştırmalar , normal trafik veri kümelerindeki ilgili özellikleri gruplayarak veya daha sonra test edilecek trafiği normal veya anormal olarak sınıflandırarak anormallik tespitine izin veren model oluşturmayı otomatikleştirmek için veri madenciliğini kullanır . Bu tür analizin avantajı, imza tabanlı tespit ile tespit edilemeyen yeni saldırı türlerinin tespitini otomatikleştirebilmesidir. Olumsuz yanı, imza tabanlı algılamaya göre daha yüksek bir yanlış pozitif oranı sağlamasıdır. Ayrıca, trafiğin kaynağını ve merkezi düğümün merkezini ayıran bir mesafe kriterine göre ağ trafiğini gruplamak için K-araçları gibi algoritmaları kullanan yöntemler de vardır . WLAN ağlarında test edilen bu yöntem,% 65,3 ile% 82,5 arasında izinsiz giriş tespitine izin verdi.
İtibar tabanlı algılama, ağdaki bir düğümün bozuk olup olmadığını ve ağdan kaldırılması gerekip gerekmediğini bilmenizi sağlar. Düğüm itibarının yönetimi, her düğüm için hesaplanır ve ardından komşu düğümlerle paylaşılır. Böylelikle düğümlerin itibarları, bozuk düğümün komşularının iletim / alım yarıçapı içindeki tüm düğümler arasında değiş tokuş edilir.
Açık Ad hoc ağlar , dağıtılmış ve kooperatif saldırı tespit sistemlerinin kullanımı için son araştırmalar potansiyel. Kablolu ağlarda, merkezi bir saldırı tespit veya önleme sistemi (ağ geçidi / güvenlik duvarı) olarak işlev gören düğümler olabilir. Kablosuz ağlarda ve daha özel olarak ad hoc ağlarda, düğümler üzerine ajanların yerleştirilmesi, radyo iletişimine özgü birkaç soruna yanıt vermeyi mümkün kılar, bunlardan en önemlisi, iletilen veya alınan radyo dalgalarının yayılma alanıdır. Aslında, bir merkezi düğüm, ağın tüm düğümlerinin tüm iletim / alım yüzeyini kaplayamaz. Dağıtık tespit sistemleri bu nedenle bu soruna olası bir yanıttır.
Dağıtılmış ve işbirliğine dayalı saldırı tespiti ilkesi, ajanları ağın düğümlerine dağıtmak ve toplanan veri setlerini yerel olarak analiz etmekten oluşur. Bu ilk analiz, yerel bir izinsiz girişin tespit edilmesini mümkün kılabilir. İkincisi, ilgili bilgileri ağın düğümlerine sağlamak veya bir veri öğesini bir izinsiz girişten geliyor olarak sınıflandırmayı mümkün kılan komşu düğümlerden bilgi toplamak da mümkündür. Bilgi alışverişi, güvenli olması gereken (kimlik doğrulama ve şifreleme) ayrı bir kanalda gerçekleşir. Bu nedenle, yalnızca yerel veri kümesinden işlem yapmak yerine, algılama hem yerel veri kümesine hem de komşu düğümlere dayanır.
Diğer çalışmalar, bu tür algılamayı izinsiz girişin kaynağı ve gerçekleştirilen izinsiz giriş türü hakkında daha fazla bilgi sağlamak için kullanır. Örneğin, ortadaki adam saldırısı durumunda , bir yazılım algılama sisteminin entegrasyonu yoluyla düğümler üzerinde algılama gerçekleştirilir. Bu, değiştirilmiş bir Linux çekirdeğine dayanır ve bu türden bir saldırının devam ettiğini, MAC adresiyle bir kimlik doğrulama çerçevesini algıladığı anda, bu çerçevenin göndereni olmadığını bilerek bildirir. İstemci / alıcı, bu saldırının çerçevenin gerçek değere karşılık gelmeyen 'sıra numarası' alanının değeri aracılığıyla devam ettiği ve bu nedenle komşu düğümlere (tipik olarak burada erişim) bu tür bir saldırı hakkında bilgi verebileceği konusunda uyarılır. nokta düğümü).