Advanced Evasion Techniques: Measuring the threat detection capabilities of up-to-date network security devices

Abstract

The robustness principle of software design as stated in RFC 761 in 1980 is "Be conservative in what you do, be liberal in what you accept from others." Although useful for building interoperable software systems, this principle opens room for an attacker to deliberately cause traffic ambiguities to fool network based threat detectors.

This study examines a set of commercial network security solutions against a complex set of evasive techniques and works to construe an overview on the performance of such tactics and what is the current state of network based defences when countering these threats.

We established a set of comparable device configurations, metrics for evaluation and three controlled experiments for our study. We present the results of our experiments and analyse them for observable patterns and deviations.

Our findings suggest that most commercial solutions still have trouble countering techniques discovered more than a decade ago and nearly every tested device is eludible in seconds of persistent search. However, improved evasion resistance appears feasible as a number of devices performed better than others.

Verkkoliikenteen luotettavuusperiaate, "Ole varovainen lähettäessä, liberaali vastaanottaessa" on auttanut rakentamaan Internetin yhteensopivuutta vuodesta 1980. Eduistaan huolimatta periaatteen toteutus myös avaa hyökkääjälle mahdollisuuden hyväksikäyttää monitulkintaista verkkoliikennettä tietoturvalaitteiden hämäämiseksi.

Tutkimuksemme tarkastelee joukkoa kaupallisia tietoturvaratkaisuja useita "evaasiotekniikoita" vastaan. Tällä pyrimme selvittämään kyseisten hyökkäystekniikoiden suorituskykyä ja arvioimaan nykyisten tietoturvalaitteiden kykyä torjua näitä uhkia.

Diplomityössä rakennamme vertailukelpoiset kokoonpanot laitteista, mittaustekniikat saatujen tulosten arviointiin ja toteutamme kolme koetta. Esittelemme kokeiden tulokset ja analysoimme niistä havaittavia säännönmukaisuuksia ja poikkeavuuksia.

Tuloksemme viittaavat siihen, että useimmat kaupalliset ratkaisut ovat edelleen riittämättömiä yksinkertaisia, yli kymmenen vuotta sitten havaittuja tekniikoita vastaan. Lähes jokainen testattu laite on väistettävissä sekunneissa satunnaisilla evaasioyhdistelmillä.