Self-Protection in a Clustered Distributed System

ABSTRACT

Self-protection refers to the ability for a system to detect illegal behaviors and to fight-back intrusions with countermeasures. This article presents the design, the implementation, and the evaluation of a self-protected system which targets clustered distributed applications. Our approach is based on the structural knowledge of the cluster and of the distributed applications. This knowledge allows to detect known and unknown attacks if an illegal communication channel is used. The current prototype is a selfprotected JEE infrastructure (Java 2 Enterprise Edition) with firewall-based intrusion detection. Our prototype induces low- performancepenalty for applications.

INTRODUCTION

THE onments is such that the presence of bugs and security complexity of today’s distributed computing  envirholes is statistically unavoidable. A very promising approach to this issue is to implement a self-protected system which refers to the capability of a system to protect itself againstintrusions, i.e., detect them and fight them back. This paper presents a self-protected system in the context of cluster-based applications. We  consider that the hardware environment is composed of a cluster of machines interconnected through a local area network with an Internetaccess via a router. The software environment is composed of a set of application components deployed on the cluster. These assumptions correspond to the point of view of a machine provider which rents his cluster infrastructure to different customers. We consider that each customer has a set of machines exclusively allocated to his applications. However, the local network and the Internet access are shared by all the applications. Therefore, the threat may come from outside of the cluster through the Internet, but also from inside because of a hostile accredited customer.  The approach is based on the principle of least privilege applied to communication channels. Any attempt to use an undeclared  communication channel is trapped and a recovery procedure is executed. Legal communication channels are automatically calculated from the hardware and software architectures of the system and are used to generate protection rules that forbid the use of unspecified channels. 

چکیده

خودپیشگیری به توانایی یک سیستم برای شناسایی رفتارهای غیرقانونی و جلوگیری از نفوذ در مقابل اقدامات اشاره دارد. در این مقاله، طراحی، پیاده سازی و ارزیابی یک سیستم محافظت شده خود که هدف قرار دادن برنامه های توزیع شده را هدف قرار می دهد، ارائه شده است. رویکرد ما بر اساس دانش ساختاری خوشه و برنامه های توزیع شده است. این دانش اجازه می دهد تا به شناسایی حملات شناخته شده و ناشناخته اگر یک کانال ارتباطات غیر قانونی استفاده می شود. نمونه اولیه آن یک زیرساخت محافظتی JEE (Java 2 Enterprise Edition) با تشخیص نفوذ مبتنی بر فایروال است. نمونه اولیه ما باعث کمبود عملکرد برای برنامه های کاربردی می شود.

مقدمه

این موارد به گونه ای است که حضور اشکالات و پیچیدگی های امنیتی محاسبات توزیع شده امروز از لحاظ آماری اجتناب ناپذیر است. رویکرد بسیار امیدوار کننده به این مسئله این است که یک سیستم خود محافظت کند که به توانایی یک سیستم برای محافظت از خود در مقابل نقض حریم خصوصی اشاره دارد، یعنی شناسایی آنها و مبارزه با آنها. این مقاله یک سیستم حفاظت شده خود را در زمینه برنامه های مبتنی بر خوشه ارائه می دهد. ما در نظر داریم که محیط سخت افزاری شامل یک خوشه ای از دستگاه های متصل شده از طریق یک شبکه محلی با دسترسی به اینترنت از طریق روتر است. محیط نرم افزاری از مجموعه ای از اجزای کاربردی که در خوشه مستقر شده اند تشکیل شده است. این مفروضات با دیدگاه یک ارائه دهنده ماشین مطابقت دارد که زیرساخت خوشه اش را به مشتریان مختلف اجاره می دهد. ما در نظر داریم که هر مشتری دارای مجموعه ای از ماشین های اختصاص داده شده به برنامه های خود است. با این حال، شبکه محلی و دسترسی به اینترنت توسط تمام برنامه های کاربردی به اشتراک گذاشته می شود. بنابراین، تهدید ممکن است از خارج از خوشه از طریق اینترنت، بلکه از داخل به دلیل یک مشتری معتبر متخاصم. این رویکرد بر اساس اصل کمترین امتیاز اعمال شده به کانال های ارتباطی استوار است. هر تلاش برای استفاده از یک کانال ارتباطی اعلام نشده، به دام افتاده است و یک روش بازیابی اجرا می شود. کانال های حقوقی ارتباطات به صورت خودکار از معماری سخت افزاری و نرم افزاری سیستم محاسبه می شوند و برای ایجاد قوانین حفاظت شده که استفاده از کانال های نامشخص را ممنوع می کند.

Year: 2012

Publisher : IEEE

By :  Noel De Palma, Daniel Hagimont, Fabienne Boyer, and Laurent Broto

File Information: English Language/ 7 Page / size: 465 KB

Download

سال : 1391

ناشر : IEEE

کاری از : نول د پالما، دانیال هگیمونت، فابین بویر و لوران بروت

اطلاعات فایل : زبان انگلیسی / 7 صفحه / حجم : KB 465

لینک دانلود