Yazılım tanımlı ağlarda ağ trafiğine duyarlı bir yaklaşım ile otonom saldırı tespit ve önleme modeli
Autonomous attack detection and mitigation model by network traffic aware approach in software defined networks
Yazar: ÖZGÜR TONKAL
Danışman: DOÇ. DR. HÜSEYİN POLAT
Gazi Üniversitesi / Fen Bilimleri Enstitüsü / Bilgisayar Mühendisliği Ana Bilim Dalı
Derece: Doktora, 2022
Konu: Bilgisayar Mühendisliği Bilimleri-Bilgisayar ve Kontrol = Computer Engineering and Computer Science and Control
Dizin: Makine öğrenmesi = Machine learning ; Saldırı tespit sistemi (IDS) = Intrusion detection system (IDS) ; Sanallaştırma = Virtualization ; Trafik güvenliği = Traffic safety ; Trafik planlama = Traffic planning ; Yazılım tanımlı ağlar = Software defined networks

Özet:
İnternet kullanımının artması ile birlikte bilişim ağları üzerindeki veri trafiği ve çeşitliliği 
katlanarak artış göstermektedir. Bu büyük veri trafiğini etkin bir şekilde yönetmek için 
Yazılım Tanımlı Ağ (YTA) ve Ağ Fonksiyonlarını Sanallaştırma (Ağ Fonksiyonlarını 
Sanallaştırma- AFS) gibi yeni nesil ağ teknolojileri kullanılmaktadır. YTA sahip olduğu 
merkezi yönetim anlayışı ile geleneksel ağ yaklaşımlarında karşılaşılan birçok zorluğun 
üstesinden gelse de mimari yapısı sebebiyle saldırganların hedefi olabilmektedir. Bu tez 
çalışmasında; YTA ortamında hacimsel saldırı trafiklerinin tespitine yönelik, YTA ve AFS' 
nin sağlamış olduğu avantajlar kullanılarak, trafik farkında otonom özelliklere sahip bir 
güvenlik modeli önerilmiştir. Önerilen model; YTA kontrolcüsü ile bütünleşik çalışan Trafik 
Sınıflandırma Servisi (TSS) ve Esnek Güvenlik Servisi (EGS) modüllerini içermektedir. 
TSS modülü ile trafik sınıflandırma ve süreklilik ölçümü işlemleri gerçekleştirilirken, EGS
modülü ile saldırı tespit ve engelleme işlemleri gerçekleştirilir. EGS modülü içerisinde 
otonom olarak açılıp kapanma özelliğine sahip farklı Siber Güvenlik Alanları (SGA) yer 
almaktadır. SGA içerisinde; saldırı tespit ve engelleme işlemleri için eğitilmiş makine 
öğrenme modelleri kullanılmaktadır. Geliştirilen uygulama kullanılarak farklı senaryoların 
testleri gerçekleştirilmiştir. Senaryo kapsamında, YTA uygulama katmanında çalışan Web 
ve DNS sunucularını hedef alan saldırılar (HTTP, DNS ve ICMP flood saldırısı) 
gerçekleştirilmiştir. Önerilen modelin kullanıldığı güvenlik sistemi devreye alındıktan sonra 
ağ trafik gecikmeleri ve sistem kaynak kullanımları ölçülmüştür. Elde edilen test sonuçları
anormallik tespitinde, önerilen modelin başarılı sonuçlar verdiğini göstermektedir.

Abstract:
With the increase in the use of the internet, the data traffic and diversity on the information 
networks increase exponentially. New generation network technologies such as Software 
Defined Networking (SDN) and Network Functions Virtualization (NFV) are used to 
effectively manage this big data traffic. Although SDN overcomes many difficulties 
encountered in traditional network approaches with its centralized management approach, it 
can be the target of attackers due to its architectural structure. In this study, an autonomous 
security model with a traffic awareness was proposed for the detection of volumetric attack 
traffic in the SDN environment, using the advantages provided by SDN and NFV. The 
proposed model includes Traffic Classification Service (TCS) and Flexible Security Service 
(FSS) modules that work integrated with the SDN controller. While traffic classification and 
continuity measurement operations are performed with the TCS module, intrusion detection 
and prevention operations are performed with the FSS module. There are different Cyber 
Security Areas (CSA) within the EGS module that have the feature of opening and closing 
autonomously. Trained machine learning models are used for intrusion detection and 
prevention in CSA. Tests of different scenarios were carried out using the developed 
application. Attacks targeting Web and DNS servers running in the SDN application layer 
(HTTP, DNS and ICMP flood attack) were designed in the scenarios. After commissioning 
the security system using the proposed model, network traffic delays and system resource 
usage were measured. The test results show that the proposed model gives successful results 
in anomaly detection.