iWall โดย 1. นายวีกิจ สัจจะมโนรมย์ 4931243221 1. นายวีกิจ สัจจะมโนรมย์ 4931243221 2. นายสิขเรศ ศุภปัญญา 4931252921 3. นายอภิชิต หาญบรรจง 4931255821 อาจารย์ที่ปรึกษาโครงการ อาจารย์ ดร.เกริก ภิรมย์โสภา Presentation date : 9 November 2009 Intelligent Firewall

Outline -ภาพรวมของโครงงาน -สรุปความก้าวหน้า -ปัญหาที่พบในระหว่างการทำโครงงาน -การเปลี่ยนแผนการดำเนินงานและขอบเขต -การประเมินโครงงาน

ภาพรวมของโครงงาน -ศึกษา เรียนรู้ และป้องกัน -Data Mining -Artificial Intelligence -Computer Security -DoS & DDoS -Firewall Rule -Rule Server, Filter Server

สรุปความก้าวหน้า -ขั้นตอนที่ทำเสร็จแล้ว -ขั้นตอนที่กำลังปฏิบัติอยู่ -ขั้นตอนที่จะปฏิบัติต่อจากนี้

ขั้นตอนที่ทำเสร็จแล้ว -วิเคราะห์ปัญหา -วิเคราะห์ความต้องการ -ศึกษาหาข้อมูลที่เกี่ยวข้อง -ออกแบบสถาปัตยกรรม iWall

วิเคราะห์ปัญหา การโจมตีแบบ DoS -SYN Flood Attack -Smurf Attack -Broad Address -Fraggle Attack -UDP Flood Attack

วิเคราะห์ปัญหา การโจมตีแบบ DDoS -Distributed -Botnet

วิเคราะห์ความต้องการ -ตรวจจับการโจมตี -วิเคราะห์การโจมตี -ปรับเปลี่ยนเพื่อป้องกันการโจมตี

Netfilter/iptables -iptables เป็นได้ทั้ง stateful และ stateless packet filtering -คำสั่งที่ใช้ในโครงงานมีทั้งหมด 7 ส่วน เช่น -Allowing Established Sessions # iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT -Allowing Incoming Traffic # iptables -A INPUT --dport 80 -j ACCEPT –s 192.168.1.1

AWStats -เป็นเครื่องมือ Log Analyzer Open Source ที่เขียนด้วย ภาษา PERL นำข้อมูลจาก AWStats มาวิเคราะห์ต่อ ได้แก่ -ข้อมูล Traffic ตามชั่วโมง -ข้อมูล Traffic แยกตาม Host -ผู้เยี่ยมชมที่เป็น Robots หรือ Spiders -Traffic แยกตามระยะเวลาเยี่ยมชม

AWStats (ต่อ)

HTTP Header -สนใจ Inbound Traffic เท่านั้น -Authorization -Connection -Content Length -Content Type -Date -Expect

HTTP Header (ต่อ) -Proxy Authorization -Range -User Agent -Via -Warn

Algorithm -Traffic Baseline Algorithm -Traffic Anomaly Identification Algorithm -Bandwidth Control Algorithm -Blocking Algorithm

Traffic Baseline Algorithm -Learning Mode -Percentile Rank -Median -Average -Dynamic Mode -Dynamic Traffic Baseline

Traffic Anomaly Identification Algorithm -ถ้า Traffic เกินค่า Tolerance จะถือว่าเกิด Anomaly -ตรวจสอบว่าเครื่องต้นทางใดก่อให้เกิดความผิดปกติ คือ ทำให้ปริมาณ Traffic สูงผิดปกติ

Bandwidth Control Algorithm -First-Come, First-Served -Maximum Bandwidth

Blocking Algorithm -Time -Severity

การออกแบบสถาปัตยกรรม iWall -Physical Architecture -Logical Architecture

iWall’s Physical Architecture -Firewall และ Rule Server -Filter Server

iWall’s Logical Architecture

iWall’s Logical Architecture(ต่อ) -Firewall Module iptables -Traffic Anomaly Identification Module Traffic Baseline Algorithm Traffic Anomaly Algorithm Blocking Algorithm AWStats

iWall’s Logical Architecture(ต่อ) -Bandwidth Control Module Bandwidth Control Algorithm -Log Analyzer Module Artificial Neural Network -Rule Generator Module

ขั้นตอนที่กำลังปฏิบัติอยู่ -ศึกษาภาษา PERL -ข่ายงานประสาทเทียม

ศึกษาภาษา PERL -ไม่เสียค่าใช้จ่าย -มีรากฐานมาจากภาษา C -มี library เป็นจำนวนมาก

ข่ายงานประสาทเทียม -ใช้ในการวิเคราะห์ Log ของ AWStats และ Log Traffic -ประกอบด้วย input nodes, hidden nodes และ output nodes -ปรับค่า weight โดยใช้ Backpropagation

ขั้นตอนที่จะปฏิบัติต่อจากนี้ 1. ทำการสร้าง -Firewall Module -Traffic Anomaly Identification Module -Bandwidth Control Module -Log Analyzer Module -Rule Generator Module

ขั้นตอนที่จะปฏิบัติต่อจากนี้ (ต่อ) 2. เชื่อมโยงการติดต่อระหว่าง Module 3. ทดลองและหาระยะเวลาที่เหมาะสมสำหรับการทดสอบ ประสิทธิภาพในการป้องกันการโจมตีแบบ DDoS ผ่านทาง HTTP Port 4. ทดลองและปรับเปลี่ยน Parameter ของ Module ต่างๆให้ ได้ประสิทธิภาพในการป้องกันการโจมตีแบบ DDoS ผ่านทาง HTTP Port สูงที่สุด

ปัญหาที่พบในระหว่างการทำโครงงาน 1. การกำหนดขอบเขตเริ่มต้นกว้างเกินไป 2. แหล่งความรู้เกี่ยวกับ DDoS บางแหล่งเป็นความลับ 3. ชุดข้อมูลทดสอบสำหรับ iWall มีเพียงแหล่งเดียว 4. AWStats มีข้อจำกัดทางเทคนิค -Attribute ของ AWStats ไม่ตรงกับรูปแบบที่ต้องการ

แผนดำเนินงาน

ขอบเขต - สนใจ inbound traffic เท่านั้น - สนใจการโจมตีแบบ DDoS เท่านั้น - มีการเก็บ Log เพื่อนำมาทำ Data Mining - มีการปรับปรุงกฎโดยอัตโนมัติ - เป็น Application Firewall - เกณฑ์การวัดประสิทธิภาพของ iWall คืออัตราส่วนในการป้องกัน DDoS และระยะเวลาที่ใช้ในการตรวจจับและป้องกัน

การประเมินโครงการ สามารถแบ่งได้เป็น 2 ส่วน 1. พบว่าการดำเนินงานเป็นไปตามที่ได้วางแผนไว้ 2. ในส่วนของคุณภาพของโครงงาน ถือว่ามีการพัฒนา เพราะสามารถกำหนด ขอบเขตและออกแบบได้ชัดเจนมากขึ้น

Q&A THANK YOU