Tesis Doctorales

Universidad Miguel Hernández de Elche - España

• Modelado y arquitecturas para la caracterización de la intrusión en redes IP
  • Autor: D. Angel Grediaga Olivo
  • Director: D. Francisco Ibarra Picó
  • Codirectores: D. Alejandro Pomares Padilla y D. Bernardo Ledesma Latorre
  • Fecha: 2002
  • Resumen: En este trabajo se desarrollan los aspectos relacionados con el problema de la seguridad informática y más concretamente el de la intrusión. Se realiza un recorrido por el estado del arte en la detección de intrusos, poniendo de manifiesto las deficiencias que todavía hoy existen en este campo, en particular se plantea caracterizar la intrusión por métodos alternativos a los sistemas expertos basados en reglas. Como punto de partida, se ha tenido en cuenta que el modelo OSI divide el proceso global de comunicación en funciones que son desempeñadas por varias capas, y en cada capa, un proceso en una computadora desarrolla una conversación con el proceso del mismo nivel en la otra máquina. Los parámetros necesarios para esta comunicación viajan en las cabeceras correspondientes a cada capa. Los datos de usuario en un determinado nivel contienen, de forma encapsulada, la cabecera y los datos del nivel inmediatamente superior.
    
    Desde el punto de vista funcional podemos reconsiderar la información que viaja en las cabeceras de los diferentes niveles en términos de sujeto, objeto y acción. Por ello, un paquete contendrá las acciones que desee realizar un sujeto para o con los objetos. En consecuencia un ataque quedará reflejado en esta tripla. Para distinguir qué triplas contienen ataques respecto de otras se plantea la función de intrusión que permite extraer un vector, denominado vector de intrusión, a partir del datagrama o paquete IP capaz de caracterizar el comportamiento respecto de su intencionalidad para con la máquina objetivo del paquete. Utilizando este vector como entrada a un sistema de clasificación es posible separar los paquetes maliciosos de los convencionales.
    
    Se propone la función de intrusión, en su aplicación no restringida, de manera que el vector de intrusión generado posee gran número de componentes y dominios de representación distintos para muchas de ellas; lo cual conlleva un retraso en la clasificación de los paquetes que podría derivar en el no-cumplimiento de las restricciones temporales del sistema. Por ello que se particulariza la función de intrusión en su versión restringida o discreta ajustando las componentes del vector desde el punto de vista de su importancia y atendiendo a la necesidad de unificar los dominios de representación. En este punto se plantea la hipótesis de que el vector de intrusión discreto con 29 componentes, caracteriza la intrusión. Se plantea la necesidad de utilizar modelos de redes neuronales que intenten adecuarse lo mejor posible a los patrones de entrada para realizar la clasificación del vector de intrusión discreto, de manera que del conjunto de posibles redes neuronales se han elegido modelos desde dos puntos de vista diferenciados, por un lado, aquellos cuyo origen de decisión se basa en la minimización de funciones de energía aplicadas a los patrones de entrada (Perceptrón Multicapa) y por otro aquellos que clasifiquan basándose en posibles estructuras o relaciones entre las componentes de los patrones de entrada (Mapa Auto-organizativo), corroborando que desde ambos puntos de vista se llega a resultados similares. Por ello, se propone usar un tercer modelo de red neuronal, Memoria Asociativa Ortogonal, que reúne las bondades de las dos redes anteriores respecto de sus criterios de decisión.
    
    Con el objetivo de estudiar la viabilidad del sistema respecto de sus tiempos de respuesta se propone una arquitectura segmentada basada en DSP's. Para ello se analizan los diferentes aspectos de diseño necesarios para llevar a cabo la propuesta; en particular se aborda el estudio desde la ruta de datos, incluyendo el mapa de memoria hasta el análisis del coste eléctrico del sistema resultante.
    
    Sin enbargo, aunque el proceso de clasificación es rápido, se puede decir que la información del paquete, llega a las capas superiores en paralelo con la intrusión que se está produciendo, además el sistema no opera en la propagación de la información desde el cable de red, por lo tanto se realiza una nueva propuesta arquitectural en hardware reconfigurable que aprovecha el diseño estructural segmentado, toma como origen los datos de entrada al sistema, utiliza el modelo de la FID y de la Memoria Asociativa Ortogonal y su facilidad de implementación hardware, para conseguir realizar una detección anticipada de la intrusión.
    
    

Para mayor información, contacte con: gredi@dtic.ua.es