Detekce a automatická analýza skenování sítí

Abstract

Tato bakalářská práce se věnuje monitorování počítačových sítí s využitím toků. Je zde popsán framework Nemea, který lze využít k sestavení komplexního systému pro detekci síťových útoků a jehož součástí je modul vyvíjený v rámci této práce. Dále je popsána problematika skenování portů a různé metody, jimiž lze porty skenovat. Modul je navržen pro detekci horizontálního skenování. Základní myšlenkou metody je porovnání unikátního počtu cílových IP adres, na nichž se bylo doptáváno na daný port, se zadaným prahem v určitém časovém okně. V praktické části je představena implementace tohoto modulu a jsou prezentovány výsledky experimentů nad reálnými daty ze sítě Cesnet.This bachelor thesis is focused on a computer network monitoring that utilizes flows. Firstly, there is a framework Nemea described, which can be used to build a complex system for network attack detection, and whose module is developed within the thesis. Secondly, port scanning is explained and different methods that can be used to scan ports are defined. The module is designed to detect horizontal scanning. The idea behind this method is to compare a unique number of destination IP addresses, which were asked for with a specific port, with a given threshold in a specific time window. Finally, in the practical part of the thesis the implementation of the module is described and results of the experiments on real data from Cesnet are presented.