Runall dvi

21.4 Defense Against Network Attack
665
You may have to do intrusion detection both locally and globally. The
antivirus side of things may have to be done on local machines, espe-
cially if the malware arrives on encrypted web sessions; on the other
hand, some attacks are stealthy — the opponent sends 1–2 packets per
day to each of maybe 100,000 hosts. Such attacks are unlikely to be found
by local monitoring; you need a central monitor that keeps histograms
are kept of packets by source and destination address and by port.
So it appears unlikely that a single-product solution will do the trick. Future
intrusion detection systems are likely to involve the coordination of a number
of monitoring mechanisms at different levels both in the network (backbone,
LAN, individual machine) and in the protocol stack (packet, session and
application).
21.4.5 Encryption
In the context of preventing network attacks, many people have been con-
ditioned to think of encryption. Encryption usually does a lot less than you
might hope, as the quote from Butler Lampson and Roger Needham at the
head of this chapter suggests. But it can sometimes be useful. Here I’m going
to describe briefly the four most relevant network encryption scenarios: SSH;
the local link protection offered by WiFi, Bluetooth and HomePlug; IPSec; and
TLS. Finally I’ll briefly discuss public key infrastructures (PKI), which are used
to support the last two of these.
21.4.5.1 SSH
When I use my laptop to read email on my desktop machine, or do anything
with any other machine in our lab for that matter, I use a protocol called
secure shell (SSH) which provides encrypted links between Unix and Windows
hosts [1369, 1, 988]. So when I come in from home over the net, my traffic is
protected, and when I log on from the PC at my desk to another machine in
the lab, the password I use doesn’t go across the LAN in the clear.
SSH was initially written in 1995 by Tatu Yl ¨onen, a researcher at Helsinki
University of Technology in Finland, following a password-sniffing attack
there. It not only sets up encrypted connections between machines, so that
logon passwords don’t travel across the network in the clear; it also supports
other useful features, such as forwarding X sessions, which led to its rapid
adoption. (In fact it’s a classic case study in how to get a security product
accepted in the marketplace; see [1083] for an analysis. Normally people don’t
want to use encryption products until a lot of other people are using them too,
because of network effects; so the trick is to bundle some real other benefits
with the product.)

---