Threat detection of IPS in high load situation

Abstract

Commercial network security solutions are typically measured by the throughput of the device in megabytes per second. Throughput is also quite often used to compare the different vendors and to size the security solution so that the solution is able to handle the network traffic passing through.

One method of avoiding a network security solution is to overwhelm the solution with excessive network traffic so that it either crashes or starts to bypass the traffic from the proper inspection. In a situation like this, more information about the performance of the solution would be extremely crucial.

The goal was to investigate the behavior of the security features, especially intrusion prevention systems, in high load situations. The target systems were loaded with high traffic volume using Ixia's BreakingPoint tool, and the Attack Pack feature of the tool was used to evaluate the security capabilities under the load. The difference between low and high load situations was also observed.

The results of the research revealed that different security solutions performed quite differently under heavy load. Additionally, it was noted that the measurement of the capabilities of a security product is not as straightforward as it might sound and comparing the results between different solutions poses a significant challenge.

Kaupallisia tietoverkkoihin suunniteltuja tietoturvakomponentteja vertaillaan tyypillisesti keskenään käyttäen laitteen tai tuotteen läpäisykykyä vertailtavana suureena. Läpäisykyky esitetään muodossa megatavuja sekunnissa ja tätä suuretta käytetään hyvin usein myös laitteen mitoituksessa niin, että mitoitettava laite kykenee suoriutumaan laitteen läpi kulkevasta tietoliikenteen määrästä.

Yksi tapa ohittaa tietoverkkoihin suunnatut tietoturvakomponentit on suunnata laitetta kohden tarpeeksi suuri määrä tietoliikennettä, jolloin laite voi esimerkiksi lakata toimimasta tai päästää liikennettä itsensä läpi ilman normaalissa kuormitustilanteessa tapahtuvaa liikenteen tarkempaa tarkastelua. Näissä tilanteissa tieto laitteen toiminnasta korkeassa kuormitustilanteessa on erittäin tärkeää.

Opinnäytetyön päämäärä oli tarkastella, kuinka IPS -laitteet käyttäytyvät äärimmäisen korkean kuormituksen tilanteissa. Tarkasteltaville laitteille aiheutettiin korkean kuormituksen tila käyttäen Ixian Breaking Point -työkalua. Kyseistä työkalua käytettiin myös haitallisen liikenteen lähettämiseen tarkasteltaville laitteille.

Tutkielman tulokset osoittivat eri tietoturvakomponenttien käyttäytyvän hyvin eri tavalla korkean kuormituksen tilanteessa. Samalla havaittiin, että tietoturvatuotteiden kyvykkyyksien tai suorituskyvyn mittaaminen on erittäin haastavaa ja yhteneväisten tulosten saaminen voi osoittautua erittäin hankalaksi.