چکیده

  با افزایش روز افزون حملات در شبکه‌های کامپیوتری و وابستگی گسترده فعالیت‌های حوزه‌های مختلف تجاری، پزشکی، اقتصادی و غیره به سرویس‌هایی که در شبکه ارائه می‌شوند، تلاش برای مقاوم‌سازی شبکه‌های کامپیوتری در برابر حملات بسیار مهم است. یکی از تمهیدات امنیتی که در شبکه‌های کامپیوتری به‌منظور بهبود سطح امنیتی انجام می‌شود، استفاده از سیستم‌های تشخیص نفوذ است. سیستم‌های تشخیص نفوذ به تنهایی برای مقاوم‌سازی شبکه کافی نیستند و به همین دلیل باید بتوان به ‌نوعی از بروز حمله در شبکه جلوگیری کرد یا بعد از شناسایی حمله توسط سیستم تشخیص نفوذ، آثار منفی حاصل از بروز حمله در شبکه را کاهش داد. این مساله اهمیت استفاده از سیستم‌های پاسخ به نفوذ را در شبکه‌های کامپیوتری نشان می‌دهد. سیستم‌های پاسخ به نفوذ تلاش می ‌ کنند تا از بروز حمله در شبکه جلوگیری کنند و یا در صورت بروز حمله در شبکه، با هدف کاهش اثرات منفی آن در برابر حمله عکس‌العمل نشان دهند.

  در این پایان‌نامه هدف بهبود سیستم‌‌های پاسخ به حمله پیش‌گیرانه است. در این نوع سیستم‌های پاسخ به حمله با شناسایی عوامل بروز حمله، تلاش می ‌ شود تا شبکه در برابر حملات موجود مقاوم شود. در برخی از تقسیم ‌ بندی ‌ های موجود برای سیستم ‌ های پاسخ، از این نوع سیستم پاسخ به عنوان پیش ‌ قدم (پرواکتیو) نام برده می ‌ شود. برای این منظور در این پایان‌نامه یک چارچوب برای پیش‌گیری از نفوذ با در نظر گرفتن هزینه معرفی شده است که ورودی آن گراف حمله شبکه‌‌ای است که باید در برابر حمله مقاوم شود. در چارچوب پیشنهادی به‌منظور انجام ارزیابی ‌ های امنیتی تعدادی معیار امنیتی مبتنی بر گراف حمله تعریف شده است. به‌منظور در نظر گرفتن اثر یکپارچه معیارهای امنیتی تعریف شده در ارزیابی‌های امنیتی، روشی پیشنهاد شده است که ترکیبی از این معیارهای امنیتی را برای ارزیابی‌ در نظر می ‌ گیرد. در روش پیشنهادی با استفاده از این معیارها و تحلیل گراف حمله، راهکارهایی برای مقاوم‌سازی پیشنهاد می‌شود. به‌منظور ارزیابی میزان بهبود امنیتی حاصل از مقاوم‌سازی، شاخصی برای ارزیابی میزان خطر یک حمله در شبکه نیز ارائه شده است. با استفاده از این شاخص در خروجی چارچوب پیشنهادی، یک مصالحه سود/هزینه از راهکارهای پیشنهادی برای مقاوم‌سازی ارئه می‌شود.

  واژه‌های کلیدی: سیستم‌های پاسخ به حملات، مقاوم‌سازی شبکه به صورت کم‌هزینه، معیار امنیتی، گراف حمله، مدل ‌ سازی مبتنی بر آسیب‌پذیری

Abstract:

With the increasing rate of the intrusions to computer networks, and also with the growing importance of the information of these networks, intrusion response systems became very important and introduced themselves as an inevitable part of any security solution. Intrusion prevention is one of the important activities in response systems that may be useful for hardening computer networks. One of the proposed approaches in preventive responses is through elimination of the origins of atomic attacks which is known as network hardening. In this kind of system, the main focus is to minimize the related costs and maximize the benefits in terms of time and security level.

For this reason, the main focus of this thesis is on the improvement of intrusion preventive responses. In this kind of intrusion response systems, after identification of the atomic intrusion causes, the main objective of the defensive system is to harden the network against known and unknown multi-stage attacks. In some response taxonomies, these systems are known as proactive responses which are a subset of the active responses.

The proposed framework of this thesis gets the network exploit-based attack graph as input and with considering related costs, try to remove the attack paths. Also, four security metrics for attack paths have been defined in the proposed framework and their effects have been aggregated for deciding about attack path elimination. We also have studied the elimination of vulnerabilities and initial conditions simultaneously and with a cost aware algorithm have tried to complete our framework. Also, we have presented an acceptable solution to the network hardening problem it terms of time and security level. We also have defined a new probability based metric for measuring the risk of the occurrence of each attack paths for comparing the final security level of the network. The results of the validation and evaluation of the proposed framework has been shown on some real computer network examples.

Keywords: Intrusion response systems, network hardening, minimum cost network hardening, network immunization, vulnerability-based modeling, exploit-based attack graph, intrusion prevention systems, proactive responses