[論文レビュー] Delays have Dangerous Ends: Slow HTTP/2 DoS attacks into the Wild and their Real-Time Detection using Event Sequence Analysis

Nikhil Tripathi|arXiv (Cornell University)|Mar 31, 2022

Network Security and Intrusion Detection被引用数 4

ひとこと要約

本稿では、イベントシーケンス解析を用いて、正常および異常シーケンス間の不一致スコアを活用することで、高い精度と最小限の計算負荷でリアルタイムにSlow HTTP/2 DoS攻撃を検出する手法を提案する。実世界のテストにおいて、100％のリCALL（再現率）を達成し、誤検出率も低く、HTTP/2サーバーのセキュリティ強化に実用的であることが示された。

ABSTRACT

The robustness principle, written by Jon Postel in an early version of TCP implementation, states that the communicating entities should be liberal while accepting the data. Several entities on the Internet do follow this principle. For instance, in this work, we show that many popular web servers on the Internet are generous as they wait for a substantial time period to receive the remaining portion of an incomplete web request. Unfortunately, this behavior also makes them vulnerable to a class of cyber attacks, commonly known as Slow Rate DoS attacks. HTTP/2, the recent version of HTTP, is recently found vulnerable to these attacks. However, the impact of Slow HTTP/2 DoS attacks on real web servers on the Internet has not been studied yet. Also, to the best of our knowledge, there is no defense scheme known to detect Slow Rate DoS attacks against HTTP/2 in real-time. To bridge these gaps, we first test the behavior of HTTP/2 supporting web servers on the Internet against Slow HTTP/2 DoS attacks. Subsequently, we propose a scheme to detect these attacks in real-time. We show that the proposed detection scheme can detect attacks in real-time with high accuracy and marginal computational overhead.

研究の動機と目的

• HTTP/2ウェブサーバーが実世界でSlow Rate DoS攻撃に対してどれほど脆弱であるかを評価すること。
• 既存のHTTP/1.1用防御では対応できない、Slow HTTP/2 DoS攻撃に対するリアルタイム検出メカニズムの欠如を是正すること。
• 誤検出を最小限に抑え、計算コストも抑えた軽量でリアルタイムの検出スキームを設計・検証すること。

提案手法

• 本手法は、フレームシーケンスに基づいて正常および異常なHTTP/2リクエストパターンをモデル化するイベントシーケンス解析を用いる。
• スライディングウィンドウサイズnを用いて、観測されたイベントシーケンスと学習済みの正常プロファイルとの間の不一致スコアを計算する。
• 誤検出と誤検出漏れのバランスを取るために、検出しきい値tを[0.01, 0.02]の範囲でチューニングする。
• 不一致スコアがしきい値を超える場合、シーケンスは異常と分類され、早期検出が可能になる。
• 低遅延分類を可能にするために、シーケンスから動的に前方予測ペアを抽出する。
• CPU使用率をモニタリングすることで計算負荷を評価し、ほとんどの区間で7％未満の使用率を示しており、低リソースコストであることが確認された。

実験結果

リサーチクエスチョン

• RQ1 トップウェブサイトにおけるHTTP/2の採用率はどの程度で、実世界でのSlow HTTP/2 DoS攻撃に対するセキュリティ体制はいかなるものか？
• RQ2 接続遅延挙動のため、実世界のHTTP/2サーバーがSlow Rate DoS攻撃に対してどれほど脆弱であるか？
• RQ3 イベントシーケンス解析は、誤検出を最小限に抑え、計算コストも低く抑えながら、リアルタイムにSlow HTTP/2 DoS攻撃を効果的に検出できるか？
• RQ4 ウィンドウサイズnの変化が、検出精度、遅延、計算負荷にどのように影響するか？
• RQ5 提案手法において、検出性能と誤検出率のバランスを最適化するしきい値tの値は何か？

主な発見

• 上位50万位のAlexaウェブサイトの約71％がHTTP/2をサポートしており、広範な導入状況であり、セキュリティ分析において関連性が高いことが示された。
• 一部の代表的なHTTP/2ウェブサーバーが、リクエストが不完全なまま長時間接続を維持する挙動のため、Slow HTTP/2 DoS攻撃に対して脆弱であることが判明した。
• 実世界のテストにおいて、提案手法は100％のリCALL（再現率）を達成し、98％を超える精度を示した。誤検出率は2.04％未満であった。
• すべての異常シーケンスに対して、検出遅延が30秒未満で安定しており、即時の対応が可能であることが確認された。
• 計算負荷は最小限に抑えられ、ほとんどの区間でCPU使用率が7％未満であったため、本番環境への導入に適していることが示された。
• 不一致スコアしきい値tを[0.01, 0.02]の範囲に設定することで、最適な検出性能が達成され、誤検出と誤検出漏れのバランスが取れた。