Composições de IDSs: viabilizando o monitoramento de segurança em ambientes de larga escala

Abstract

A crescente necessidade de compartilhamento de informações entre organizações parceiras ou membros de organizações virtuais envolve um grande desafio de segurança. Um dos aspectos chave neste desafio é a construção de sistemas de detecção de intrusão (IDSs) que possam operar em ambientes heterogêneos de larga escala. Isto é particularmente difícil devido ao fato de que as diferentes redes envolvidas usam IDSs que não foram projetados para trabalhar de forma cooperativa. O tema central desta tese é a proposta de uma nova abordagem de monitoramento de segurança baseada em composições de IDSs. Uma composição de IDSs é a combinação de elementos de detecção de intrusão, que podem ser IDSs completos ou suas partes, distribuídos entre redes diferentes, mas que operam de forma cooperativa, formando um sistema unificado. Nesta Tese, as composições de IDSs são construídas usando uma arquitetura orientada a serviços baseada na tecnologia de Web Services. A interoperabilidade entre os diversos elementos de uma composição é obtida a partir do amplo emprego de esforços de padronização, sobretudo da IETF, W3C e OASIS. As composições dinâmicas são suportadas pelo uso da orquestração de serviços. Para viabilizar as composições de IDSs, é proposta neste documento uma infra-estrutura de serviços, capaz de suportar elementos de IDs baseados em softwares prontos (commercial off-the-shelf # COTS), uma necessidade fundamental para prover a interoperabilidade e facilitar a implementação. Nesta Tese também são descritas as implementações de protótipos da infra-estrutura proposta e analisados os resultados obtidos por meio de experimentos com estes protótipos. The growing need for information sharing among partnering organizations or members of virtual organizations poses a great security challenge. One of the key aspects of this challenge is deploying intrusion detection systems (IDS) that can operate in heterogeneous, largescale environments. This is particularly difficult because the different networks involved generally use IDSs that have not been designed to work in a cooperative fashion. This Thesis presents a model for integrating intrusion detection systems in such environments. The main idea of this Thesis is a new security monitoring approach, based on IDSs compositions. A IDS composition is a combination of intrusion detection elements (which can be complete IDS systems or their components) distributed across different networks so that they operate in a cooperative fashion, in order to provide a unified service. On this Thesis, the IDSs compositions are constructed using a service-oriented architecture (SOA), based on the Web Services technology. The necessary interoperability among the elements of the compositions is achieved through the use of standardized specifications, mainly those developed by IETF, W3C and OASIS. Dynamic compositions are supported through service orchestration. To make possible the IDSs compositions, is proposed on this document a services infrastructure that is capable of supporting commercial off-the-shelf (COTS) IDS elements, a crucial feature for providing interoperability and deployability. On this Thesis are also described prototypes implementations, tests and results.