Attack Framework for SDN Networks and Protocols

Abstract

Esta tese examina as implicações de segurança da tecnologia emergente P4. Assumindo que um switch pode ser injetado com um programa malicioso usando uma biblioteca infectada, três ataques foram desenvolvidos: redirecionamento de tráfego, homem-no-meio (MiTM) e negação de serviço (DoS). A tese explora a implementação de todos os ataques mencionados, com ênfase na criação de um gatilho remoto que permite que o ataque seja usado num momento diferente da infecção.Estratégias de mitigação para os ataques descritos foram também estudadas. No que toca a análise estática, o estado da arte foi consultado, no qual apenas duas ferramentas adequadas, Gauntlet e BF4 foram encontradas. Após testes, foi concluido que nenhuma das ferramentas mencionadas detecta alterações malignas no plano de dados do código.No que toca de mitigação baseada na rede, o P4-INT foi estudado como solução de monitorização. O INT foi implementado num cenário que segue a arquitectura spine-leaf (com 2 spines e 4 leafs), e é responsável por recolher várias métricas relacionadas à rede, nomeadamente porto, carimbo de hora e interface de entrada e saída, protocolo utilizado, ID do nó e ocupação a fila. Concluiu-se que P4-INT pode detectar um subconjunto dos ataques testados (como switch-DoS, MiTM e, em certa medida, redirecionamento de tráfego), mas não é tão bem-sucedido em DoS de um único receptor.Finalmente, é demonstrada uma implementação de uma contramedida baseada no controlador P4Runtime. O exemplo utiliza o Grafana como sistema de notificação, e o controlador P4Runtime para emitir um reset do plano de controlo, seguido de uma recuperação do estado do sistema.

This thesis examines the security implications of the emerging technology P4. Assuming that a switch can be injected with a rogue program using an infected library, three attacks data-plane attacks were developed: Traffic Re-routing, Man-in-the-Middle (MiTM), and Denial-of-Service (DoS). The thesis explores the implementation of all mentioned attacks, with emphasis on creating a remote trigger that allows the attack to be used at a different time other than infection. Mitigation strategies for the described attacks were also studied. In terms of statical analysis, the state of the art was searched, resulting in the retrieval of only two suitable tools, Gauntlet and BF4. After testing using the said tool, it was concluded that neither is able to detect rogue data-plane changes in code.In regards to network-based mitigation, P4-INT was tested as a network monitoring solution. INT was implemented in a spine-leaf (with 2 spines as 4 leaves), and it is responsible for collecting several network-related metrics: ingress and egress port, ingress and egress timestamp, ingress and egress interface, protocol, node ID and queue occupancy. It was concluded that P4-INT can detect a subset of the tested attacks (such as switch-DoS, MiTM, and to an extent, traffic re-routing), but it is not as successful in Single-Host DoS.Finally, an implementation of a controller-based countermeasure is demonstrated using the P4Runtime Controller. The example uses Grafana as a notification system, and the P4 runtime controller is used to issue a control-plane reset, followed by a system recovery.