Runall dvi

664
Chapter 21
■
Network Attack and Defense
21.4.4 Specific Problems Detecting Network Attacks
Turning now to the specific problem of detecting network intrusion, the
problem is much harder than (say) detecting mobile phone cloning for a
number of reasons. Network intrusion detection products still don’t work
very well, with both high missed alarm and false alarm rates. It’s common not
to detect actual intrusions until afterwards — although once one is detected
by other means, the traces can be found on the logs.
The reasons for the poor performance include the following, in no particular
order.
The Internet is a very noisy environment — not just at the level of con-
tent but also at the packet level. A large amount of random crud arrives
at any substantial site, and enough of it can be interpreted as hostile to
provide a significant false alarm rate. A survey by Bellovin [149] reports
that many bad packets result from software bugs; others are the fault
of out-of-date or corrupt DNS data; and some are local packets that
escaped, travelled the world and returned.
There are ‘too few attacks’. If there are ten real attacks per million
sessions — which is almost certainly an overestimate — then even if
the system has a false alarm rate as low as 0.1%, the ratio of false to
real alarms will be 100. We talked about similar problems with burglar
alarms; it’s also a well known problem for medics running screening
programs for diseases like HIV where the test error exceeds the organ-
ism’s prevalence. In general, where the signal is far below the noise, the
guards get tired and even the genuine alarms get missed.
Many network attacks are specific to particular versions of software, so a
general misuse detection tool must have a large and constantly changing
library of attack signatures.
In many cases, commercial organisations appear to buy intrusion
detection systems simply in order to tick a ‘due diligence’ box to satisfy
insurers or consultants. That means the products aren’t always kept up
to date.
Encrypted traffic can’t easily be subjected to content analysis any more
than it can be filtered for malicious code.
The issues we discussed in the context of firewalls largely apply to intru-
sion detection too. You can filter at the packet layer, which is fast but
can be defeated by packet fragmentation; or you can reconstruct each
session, which takes more computation and so is not really suitable for
network backbones; or you can examine application data, which is more
expensive still — and needs to be constantly updated to cope with the
arrival of new applications and attacks.

---