Search

Tato bakalářská práce se zabývá možnostmi sledování stavu IPFIX kolektoru, který je určen ke shromažďování metadat ohledně síťového provozu. Stručně seznamuje s problema- tikou monitorování a popisuje aktuální stav IPFIX kolektoru, který je vyvíjen organizací CESNET. Popisuje provozních vlastnosti, jež mohou být monitorovány v rámci sběru dat kolektorem při použití protokolu IPFIX. Navrhuje zásuvný modul kolektoru pro účel sběru a exportu provozních parametrů. Popisuje implementaci a obsahuje výsledky testování no- vého moodulu., This bachelor's thesis addresses possible ways of monitoring IPFIX collector, which is used for the collection of metadata about network traffic. The thesis briefly introduces the pro- blematics of monitoring and describes the current state of IPFIX collector, which is being developed by an organization called CESNET. It also describes service properties, which can be monitored during the process of data collection using the IPFIX protocol. A new plugin is described, which is intended for the collection and the export of service properties. The thesis describes an implementation and contains results of testing of the new plugin.

Cílem této diplomové práce je navrhnout jazyk, jehož prostřednictvím bude možné monitorovat proud síťových toků za účelem detekce porušení síťové politiky v lokální síti. Byla provedena analýza jazyků užívaných v systémech pro řízení proudu dat a dále byl proveden rozbor zadaných úloh od potenciálního správce sítě. Výstupem zmíněné analýzy je návrh jazyka, jenž znázorňuje zřetězené zpracování skládající se z filtrování a agregace. Tyto operace lze přehledně definovat a spravovat v rámci bezpečnostního pravidla. Výsledkem této práce je také modul Policer integrovaný v systému NEMEA, který dokáže aplikovat hlavní příkazy navrženého jazyka. Modul splňuje požadavky zmiňovaných zadaných úloh a může být použit pro další vývoj v oblasti kontrolování síťových politik., The aim of this master's thesis is to design a language through which it would be possible to monitor a stream of network flows in order to detect network policy violations in the local network. An analysis of the languages used in the data stream management systems and an analysis of tasks submitted by the potential administrator were both carried out. The analysis specified resulted in the language design which represents pipelining consisting of filtering and aggregation. These operations can be clearly defined and managed within security rules. The result of this thesis also results in the Policer modul being integrated in the NEMEA system, which is able to apply the main commands of the proposed language. Finally, the module meets the requirements of the specified tasks and may be used for further development in the area of monitoring network policies.

Cílem této práce je nalézt v síťových bezpečnostních hlášeních skupiny IP adres, které byly detekovány ve stejných či velmi podobných, časových úsecích. Práce představuje algoritmus, jenž data z bezpečnostních hlášení převede do časových řad. Mezi jednotlivými časovými řadami se následně vyhledávají podobné dvojice vektorů. Poté, uspěje-li algoritmus při hledání dvojic, se v nalezených dvojicích hledají podobné trojice, v nich pak podobné čtveřice atd. Vytvořené řešení úspěšně nalezlo v množině analyzovaných dat 208 podobných skupin, přičemž největší z nich obsahují 11 podobných IP adres. Na základě zjištěných údajů je možné v síťových bezpečnostních hlášeních odhalit stroje, které jsou součástí tzv. botnetu., The goal of this work is to find groups of IP addresses in network security reports, which were detected in the same, or very similar, time interval. The work introduces an algorithm, which transforms data from security reports into time series. Between all the time series, similar pairs are searched. Subsequently, in the found pairs, we are looking for similar threesomes, in which we try to find similar foursomes, etc. The created solution successfully found 208 similar groups in the set of analyzed data, the largest of which contains 11 similar IP addresses. Based on the data found it is possible to detect machines that are part of the so-called botnet in network security reports.

TCP SYN Flood sa v súčasnosti radí medzi najpopulárnejšie útoky typu DoS. Táto práca popisuje sieťovú mitigačnú metódu TCP Reset Cookies ako jeden z možných spôsobov ochrany. Spomínaná metóda je založená na zahadzovaní všetkých prijatých pokusov o nadviazanie spojenia, až pokým s daným klientom nie je uzatvorená bezpečnostná asociácia na základe využitia mechanizmu TCP three-way-handshake. Tento prístup dokáže efektívne odraziť aj sofistikovanejšie útoky, avšak za cenu sekundového oneskorenia pri prvom nadväzovanom spojení daného klienta. Metóda však nie je vhodná vo všetkých prípadoch. Z tohto dôvodu táto práca ďalej navrhuje a implementuje spôsob dynamického prepínania rôznych mitigačných metód na základe aktuálne prebiehajúcej komunikácie. Tento projekt bol vykonaný ako súčasť bezpečnostného výskumu spoločnosti CESNET. Spomínaná implementácia metódy TCP Reset Cookies je už v čase písania tejto práce integrovaná do DDoS riešenia nasadeného na hlavnej sieti spoločnosti CESNET, ako aj v českom národnom peeringovom uzle NIX.CZ., TCP SYN Flood is one of the most wide-spread DoS attack types used on computer networks nowadays. As a possible countermeasure, this thesis proposes a network-based mitigation method TCP Reset Cookies. The method utilizes the TCP three-way-handshake mechanism to establish a security association with a client before forwarding its SYN data. The algorithm can effectively mitigate even more sophisticated SYN flood attacks at the cost of 1-second delay for the first established connection. However, the method may not be suitable for all the scenarios, so decision-making algorithm to switch between different SYN Flood mitigation methods according to discovered traffic patterns was also developed. The project was conducted as a part of security research by CESNET. The discussed implementation of TCP Reset Cookies is already integrated into a DDoS protection solution deployed in CESNET's backbone network and Czech Internet exchange point at NIX.CZ.

Tato práce se zabývá analýzou záznamů o IP tocích. Záznam obsahuje metadata o IP toku na dané síti, jako IP adresy, čísla portů, čísla komunikačních protokolů a další. Cílem je návrh a implementace metrik pro určování podobností mezi NetFlow záznamy. V první části práce je popis analýzy velkého množství dat. Dále jsou předvedeny techniky monitorování sítě a technologie NetFlow. Další části práce jsou věnovány návrhu a implementaci analýzy dat pomocí DBSCANu. Součástí práce je implementace aplikace pro analýzu síťových metadat. Výslednou aplikaci je možné použít pro detekci skenování sítě v NetFlow datech, ale výsledky nejsou jednoznačné, zejména obsahují i záznamy, které k útoku nepatří., This bachelor thesis is interested in analyzing IP flow records. IP flow record contains IP flow metadata of specific network communication such as IP addresses, port numbers, network protocol numbers and other. Main goal is to design and implement metrices to determine similarity of NetFlow records. At the beginning of this thesis is description of how to analyze great amount of data. Next there are shown network monitoring technicies and NetFlow. Other parts of this thesis are dedicated to design and implementation of data analysis using DBSCAN algorithm. Implementation of data analysis application is also part of this thesis. As a result, the application can be used to network scan detection using NetFlow data although the results are not very clear and contain a lot of legitimate communication.

Tato práce se zabývá analýzou záznamů o IP tocích. Záznam obsahuje metadata o IP toku na dané síti, jako IP adresy, čísla portů, čísla komunikačních protokolů a další. Cílem je návrh a implementace metrik pro určování podobností mezi NetFlow záznamy. V první části práce je popis analýzy velkého množství dat. Dále jsou předvedeny techniky monitorování sítě a technologie NetFlow. Další části práce jsou věnovány návrhu a implementaci analýzy dat pomocí DBSCANu. Součástí práce je implementace aplikace pro analýzu síťových metadat. Výslednou aplikaci je možné použít pro detekci skenování sítě v NetFlow datech, ale výsledky nejsou jednoznačné, zejména obsahují i záznamy, které k útoku nepatří., This bachelor thesis is interested in analyzing IP flow records. IP flow record contains IP flow metadata of specific network communication such as IP addresses, port numbers, network protocol numbers and other. Main goal is to design and implement metrices to determine similarity of NetFlow records. At the beginning of this thesis is description of how to analyze great amount of data. Next there are shown network monitoring technicies and NetFlow. Other parts of this thesis are dedicated to design and implementation of data analysis using DBSCAN algorithm. Implementation of data analysis application is also part of this thesis. As a result, the application can be used to network scan detection using NetFlow data although the results are not very clear and contain a lot of legitimate communication.

Tato práce se zabývá zpracováním záznamů toků vzniklých monitorováním provozu počítačových sítí z pohledu IPFIX kolektoru. Analyzuje současné řešení modulárního kolektoru, který již prošel značným historickým vývojem, a zaměřuje se na odhalení jeho silných a slabých stránek. Na základě získaných znalostí navrhuje nový kolektor, který významně upravuje řešení jednotlivých komponent pro práci se záznamy toků, klade důraz na vysokou propustnost a přidává dosud chybějící funkcionality. V rámci práce došlo i ke srovnání výkonnosti obou generací, které vyznívá pozitivně pro nový kolektor., This master's thesis addresses processing of flow monitoring records from a point of view of an IPFIX collector. It analysis the current solution of the modular collector, which went through considerable historical development, and focuses on revealing its strengths and weaknesses. Based on acquired knowledge, a new collector is designed. The new solution, which significantly modifies individual components for processing of flow records, focuses on high throughput and adds missing functionalities. The document also compares performance of both generations and the new collector clearly dominates.

Administrace rozsáhlých sítí z centrálního uzlu nezávisle na API poskytovaných výrobci síťových prvků je dnes stále ještě nevyřešený problém. K její praktické realizaci velice přispěl koncept SDN, který byl implementován mimo jiné protokolem OpenFlow. V současné době se rozšiřuje jazyk P4, umožňující přesně popsat proces zpracování paketů v síťovém prvku a disponující unifikovaným konfiguračním řešením známým jako P4 Runtime. Sdružení CESNET je jednou ze skupin, které v rámci svého výzkumu začínají podporovat P4, a to v rámci síťových karet Combo. V rámci této práce bylo navrženo a realizováno rozšířené API umožňující konfiguraci flow tabulek za běhu zařízení. Toto API bylo následně využito pro implementaci základní podpory karet Combo v P4 Runtime., Administration of a large network from a central node with a vendor independent API is quite important issue these days. The concept of SDN was truly helpful with realization of the solution, namely in the form of the OpenFlow protocol. Nowadays, a P4 language is gaining momentum, primarily thanks to its ability to describe whole packet processing pipeline and also for the P4 Runtime, solution to the distributed network configuration. CESNET association is one of the research groups starting to support P4 in their network cards beloging to the Combo series. In this work, an API was designed for these cards, aimed at the dynamic flow table configuration. This API was used for implementation of a basic support of the Combo cards in the P4 Runtime.

Bakalářská práce se zabývá návrhem a implementací softwarové části systému pro ochranu před DoS útoky. Útoky typu Denial of Service jsou v dnešní době velmi rozšířené a jejich úspěšné provedení může způsobit nemalé finanční škody provozovatelům služeb i poskytovatelům připojení. Hlavním cílem této práce bylo vytvoření softwaru, zaměřeného na vysokou datovou propustnost, který poskytne účinnou ochranu proti těmto útokům, a který umožní nasazení v sítích o rychlosti až 100 Gbps. Klíčovou částí celého systému, vyvíjeného ve spolupráci se sdružení CESNET, je hardwarově akcelerovaná síťová karta, která zpracovává přijímaná síťová data na plné rychlosti linky a realizuje operace určené softwarovou částí. Úkolem softwaru je přitom periodické vyhodnocování získaných informací o síťovém provozu a řízení činnosti hardwarového akcelerátoru. V rámci práce byl proveden detailní návrh softwarové části systému a jeho implementace. Dosažené vlastnosti vytvořené implementace byly následně ověřeny v rámci laboratorního testování. Takto vytvořený systém byl přitom již v době psaní bakalářské práce pilotně nasazen v síťové infrastruktuře akademické sítě CESNET., This bachelor's thesis deals with the design and implementation of the software part of the system for protection against DoS attacks. Nowadays Denial of Service attacks are quite common and can cause significant financial damage to internet or service providers. The main goal of this thesis was to provide software, which is focused on high-speed data throughput and can provide efficient protection against these attacks in 100 Gbps networks. Key part of the system, which is being developed in cooperation with CESNET, is hardware-accelerated network interface card, which can process incoming network traffic at full wire-speed and does the operations laid down by the software part. The main task of the software is evaluation of the information about network traffic and managing actions of the hardware accelerator. The software part of the proposed system has been successfully implemented and the properties of the system have been verified in an experimental evaluation. During the work on this thesis the first implementation of the system has already been deployed in CESNET network infrastructure.

Predmetom tejto práce je snaha o zjednotenie filtračných jazykov používaných v kolektore IP tokov a v knižnici pre ich analýzu. Momentálne tieto programy používajú rozdielne filtračné moduly a formáty súborov, z čoho plynú isté nezrovnalosti. Návrh filtra vznikol ako súčasť práce na zlepšení integrácie týchto dvoch programov a to poskytnutím implementácie spoločného filtračného modulu podporujúceho populárny filtračný jazyk. Obsahuje teoretický úvod do monitorovania tokov v sieti, zmieňuje aj algoritmy z prostredia klasifikácie tokov použiteľné pri vyhodnocovaní podmienok nad záznamami. Vlastná práca sa venuje návrhu a implementácii filtračného modulu spolu s adaptérmi k spomínanému kolektoru a knižnici. Záver je venovaný vyhodnoteniu výkonu a funkčnosti filtra., This thesis is focused on unification of filtering languages used by IP flow collecting program and library for their analysis. At the moment these implementations use different filtering modules and file formats. Because of this, inconsistencies in results arise and as a response to this, creation of one filtering module was proposed as part of effort to better integrate collection and analysis of IP flows using these programs. The one filtering module aims to provide one implementation and support for popular filtering language for use in the programs. Thesis contains theoretical introduction to flow monitoring in networks, describes algorithms useful for evaluation of conditions on flow records and packets. The core of authors work is design and implementation of the filtering module and its wrappers for the collector and analysis library. Results of performance tests and evaluation of features can be found in the thesis's conclusion.

Tato práce se zabývá analýzou záznamů o IP tocích. Záznam obsahuje metadata o IP toku na dané síti, jako IP adresy, čísla portů, čísla komunikačních protokolů a další. Cílem je návrh a implementace metody pro určování podobností mezi NetFlow záznamy. V první části práce je popis analýzy velkého množství dat. Dále jsou předvedeny techniky monitorování sítě a technologie NetFlow. Další části práce jsou věnovány návrhu a implementaci analýzy dat pomocí DBSCANu a hierarchické aglomerativní analýzy. Součástí práce je implementace aplikace pro analýzu síťových metadat. Výslednou aplikaci je možné použít pro detekci skenování sítě v NetFlow datech, ale výsledky nejsou jednoznačné, zejména obsahují i záznamy, které k útoku nepatří., This bachelor thesis is interested in analyzing IP flow records. IP flow record contains IP flow metadata of specific network communication such as IP addresses, port numbers, network protocol numbers and other. Main goal is to design and implement method for determination of similarity of NetFlow records. At the beginning of this thesis is description of how to analyze great amount of data. Next there are shown network monitoring technicies and NetFlow. Other parts of this thesis are dedicated to design and implementation of data analysis using DBSCAN and agglomerative hierarchical clustering algorithms. Implementation of data analysis application is also part of this thesis. As a result, the application can be used to network scan detection using NetFlow data although the results are not very clear and contain a lot of legitimate communication.

Tato bakalářská práce se zabývá možnostmi sledování stavu IPFIX kolektoru, který je určen ke shromažďování metadat ohledně síťového provozu. Stručně seznamuje s problema- tikou monitorování a popisuje aktuální stav IPFIX kolektoru, který je vyvíjen organizací CESNET. Popisuje provozních vlastnosti, jež mohou být monitorovány v rámci sběru dat kolektorem při použití protokolu IPFIX. Navrhuje zásuvný modul kolektoru pro účel sběru a exportu provozních parametrů. Popisuje implementaci a obsahuje výsledky testování no- vého moodulu., This bachelor's thesis addresses possible ways of monitoring IPFIX collector, which is used for the collection of metadata about network traffic. The thesis briefly introduces the pro- blematics of monitoring and describes the current state of IPFIX collector, which is being developed by an organization called CESNET. It also describes service properties, which can be monitored during the process of data collection using the IPFIX protocol. A new plugin is described, which is intended for the collection and the export of service properties. The thesis describes an implementation and contains results of testing of the new plugin.

Existuje celá řada platforem a systémů určených ke sdílení kybernetických bezpečnostních incidentů a událostí, které často používají rozdílné bezpečnostní formáty. Tímto způsobem dochází ke ztížení nebo přímo nemožnosti sdílení bezpečnostních incidentů a událostí mezi organizacemi, které využívají rozdílné platformy. Řešením tohoto problému může být vznik konvertorů, které jsou schopné převádět používané bezpečnostní formáty mezi sebou. Tato práce se zabývá převodem mezi bezpečnostními formáty IDEA, MISP a STIX. Při konverzi je důležité dbát na postup, aby docházelo k zachování informací, nebo aby při chybném převodu nevznikl jiný druh události, než byl reprezentován původní událostí. Pokud je převod dostatečně přesný, může být jednodušeji dosaženo přesnější a širší analýzy kybernetických bezpečnostních incidentů., There are many platforms and systems designed for sharing cyber security incidents and events, which often use different security formats. This way it gets harder or even not possible to share security incidents and events between organizations, which are using these platforms. Solution of this problem may be creation of converters, which are capable of converting used security formats between each other. This work solves conversion between security formats IDEA, MISP and STIX. In the process of conversion, it is important to care about conversion flow, to prevent information loss or different category of event assignment, than which it was originally represented by. If the conversion is accurate enough, it can be easier achieved more precise and broader analysis of cyber security incidents.

Bakalářská práce se zabývá návrhem a implementací dvou přístupů pro ochranu před SYN Flood útoky, které patří do DoS útoků. Denial of Service útoky jsou v dnešní době velice rozšířené a jejich provedení není příliš náročné. Přitom mohou způsobit velké finanční škody ať už poskytovatelům připojení, nebo provozovatelům služeb. Cílem práce je zjistit, jestli konvenční algoritmický přístup a heuristický přístup s využitím neuronových sítí jsou schopny mitigace SYN Flood útoků. Podle návrhů obou přístupů byly provedeny jejich implementace. Obě byly následně otestovány., This bachelor's thesis deals with design and implementation of two approaches as protection against SYN Flood attacks, which are part of DoS attacks. Nowadays Denial of Service attack are very widespread and their execution are quite simple. While they can cause big financial damage to internet or service providers. The purpose of this work is to determine that conventional algorithmic approach and heuristic approach using neural network are capable of SYN Flood attacks mitigation. Implementation of both approaches were done by their design. Then both implementations were tested.

Administrace rozsáhlých sítí z centrálního uzlu nezávisle na API poskytovaných výrobci síťových prvků je dnes stále ještě nevyřešený problém. K její praktické realizaci velice přispěl koncept SDN, který byl implementován mimo jiné protokolem OpenFlow. V současné době se rozšiřuje jazyk P4, umožňující přesně popsat proces zpracování paketů v síťovém prvku a disponující unifikovaným konfiguračním řešením známým jako P4 Runtime. Sdružení CESNET je jednou ze skupin, které v rámci svého výzkumu začínají podporovat P4, a to v rámci síťových karet Combo. V rámci této práce bylo navrženo a realizováno rozšířené API umožňující konfiguraci flow tabulek za běhu zařízení. Toto API bylo následně využito pro implementaci základní podpory karet Combo v P4 Runtime., Administration of a large network from a central node with a vendor independent API is quite important issue these days. The concept of SDN was truly helpful with realization of the solution, namely in the form of the OpenFlow protocol. Nowadays, a P4 language is gaining momentum, primarily thanks to its ability to describe whole packet processing pipeline and also for the P4 Runtime, solution to the distributed network configuration. CESNET association is one of the research groups starting to support P4 in their network cards beloging to the Combo series. In this work, an API was designed for these cards, aimed at the dynamic flow table configuration. This API was used for implementation of a basic support of the Combo cards in the P4 Runtime.

Administrátori počítačových sietí potrebujú pokročilé nástroje na konfiguráciu sieťových zariadení. Pre tento účel vznikol protokol NETCONF a modelovací jazyk YANG. Cieľom tejto práce je implementovať mechanizmu Zero Touch, ktorý slúži na počiatočnú konfiguráciu NETCONF servera.Tento mechanizmus bude integrovaný do dátového úložiska sysrepo., Computer network administrators need advanced tools to configure network devices. For this purpose, the NETCONF protocol and the YANG modeling language were developed. The aim of this thesis is to implement the Zero Touch mechanism that serves the initial configuration of the NETCONF server. This mechanism will be integrated into the sysrepo datastore.

Bakalářská práce se zabývá návrhem a implementací softwarové části systému pro ochranu před DoS útoky. Útoky typu Denial of Service jsou v dnešní době velmi rozšířené a jejich úspěšné provedení může způsobit nemalé finanční škody provozovatelům služeb i poskytovatelům připojení. Hlavním cílem této práce bylo vytvoření softwaru, zaměřeného na vysokou datovou propustnost, který poskytne účinnou ochranu proti těmto útokům, a který umožní nasazení v sítích o rychlosti až 100 Gbps. Klíčovou částí celého systému, vyvíjeného ve spolupráci se sdružení CESNET, je hardwarově akcelerovaná síťová karta, která zpracovává přijímaná síťová data na plné rychlosti linky a realizuje operace určené softwarovou částí. Úkolem softwaru je přitom periodické vyhodnocování získaných informací o síťovém provozu a řízení činnosti hardwarového akcelerátoru. V rámci práce byl proveden detailní návrh softwarové části systému a jeho implementace. Dosažené vlastnosti vytvořené implementace byly následně ověřeny v rámci laboratorního testování. Takto vytvořený systém byl přitom již v době psaní bakalářské práce pilotně nasazen v síťové infrastruktuře akademické sítě CESNET., This bachelor's thesis deals with the design and implementation of the software part of the system for protection against DoS attacks. Nowadays Denial of Service attacks are quite common and can cause significant financial damage to internet or service providers. The main goal of this thesis was to provide software, which is focused on high-speed data throughput and can provide efficient protection against these attacks in 100 Gbps networks. Key part of the system, which is being developed in cooperation with CESNET, is hardware-accelerated network interface card, which can process incoming network traffic at full wire-speed and does the operations laid down by the software part. The main task of the software is evaluation of the information about network traffic and managing actions of the hardware accelerator. The software part of the proposed system has been successfully implemented and the properties of the system have been verified in an experimental evaluation. During the work on this thesis the first implementation of the system has already been deployed in CESNET network infrastructure.

Predmetom tejto práce je snaha o zjednotenie filtračných jazykov používaných v kolektore IP tokov a v knižnici pre ich analýzu. Momentálne tieto programy používajú rozdielne filtračné moduly a formáty súborov, z čoho plynú isté nezrovnalosti. Návrh filtra vznikol ako súčasť práce na zlepšení integrácie týchto dvoch programov a to poskytnutím implementácie spoločného filtračného modulu podporujúceho populárny filtračný jazyk. Obsahuje teoretický úvod do monitorovania tokov v sieti, zmieňuje aj algoritmy z prostredia klasifikácie tokov použiteľné pri vyhodnocovaní podmienok nad záznamami. Vlastná práca sa venuje návrhu a implementácii filtračného modulu spolu s adaptérmi k spomínanému kolektoru a knižnici. Záver je venovaný vyhodnoteniu výkonu a funkčnosti filtra., This thesis is focused on unification of filtering languages used by IP flow collecting program and library for their analysis. At the moment these implementations use different filtering modules and file formats. Because of this, inconsistencies in results arise and as a response to this, creation of one filtering module was proposed as part of effort to better integrate collection and analysis of IP flows using these programs. The one filtering module aims to provide one implementation and support for popular filtering language for use in the programs. Thesis contains theoretical introduction to flow monitoring in networks, describes algorithms useful for evaluation of conditions on flow records and packets. The core of authors work is design and implementation of the filtering module and its wrappers for the collector and analysis library. Results of performance tests and evaluation of features can be found in the thesis's conclusion.

Cílem této práce je nalézt v síťových bezpečnostních hlášeních skupiny IP adres, které byly detekovány ve stejných či velmi podobných, časových úsecích. Práce představuje algoritmus, jenž data z bezpečnostních hlášení převede do časových řad. Mezi jednotlivými časovými řadami se následně vyhledávají podobné dvojice vektorů. Poté, uspěje-li algoritmus při hledání dvojic, se v nalezených dvojicích hledají podobné trojice, v nich pak podobné čtveřice atd. Vytvořené řešení úspěšně nalezlo v množině analyzovaných dat 208 podobných skupin, přičemž největší z nich obsahují 11 podobných IP adres. Na základě zjištěných údajů je možné v síťových bezpečnostních hlášeních odhalit stroje, které jsou součástí tzv. botnetu., The goal of this work is to find groups of IP addresses in network security reports, which were detected in the same, or very similar, time interval. The work introduces an algorithm, which transforms data from security reports into time series. Between all the time series, similar pairs are searched. Subsequently, in the found pairs, we are looking for similar threesomes, in which we try to find similar foursomes, etc. The created solution successfully found 208 similar groups in the set of analyzed data, the largest of which contains 11 similar IP addresses. Based on the data found it is possible to detect machines that are part of the so-called botnet in network security reports.

TCP SYN Flood sa v súčasnosti radí medzi najpopulárnejšie útoky typu DoS. Táto práca popisuje sieťovú mitigačnú metódu TCP Reset Cookies ako jeden z možných spôsobov ochrany. Spomínaná metóda je založená na zahadzovaní všetkých prijatých pokusov o nadviazanie spojenia, až pokým s daným klientom nie je uzatvorená bezpečnostná asociácia na základe využitia mechanizmu TCP three-way-handshake. Tento prístup dokáže efektívne odraziť aj sofistikovanejšie útoky, avšak za cenu sekundového oneskorenia pri prvom nadväzovanom spojení daného klienta. Metóda však nie je vhodná vo všetkých prípadoch. Z tohto dôvodu táto práca ďalej navrhuje a implementuje spôsob dynamického prepínania rôznych mitigačných metód na základe aktuálne prebiehajúcej komunikácie. Tento projekt bol vykonaný ako súčasť bezpečnostného výskumu spoločnosti CESNET. Spomínaná implementácia metódy TCP Reset Cookies je už v čase písania tejto práce integrovaná do DDoS riešenia nasadeného na hlavnej sieti spoločnosti CESNET, ako aj v českom národnom peeringovom uzle NIX.CZ., TCP SYN Flood is one of the most wide-spread DoS attack types used on computer networks nowadays. As a possible countermeasure, this thesis proposes a network-based mitigation method TCP Reset Cookies. The method utilizes the TCP three-way-handshake mechanism to establish a security association with a client before forwarding its SYN data. The algorithm can effectively mitigate even more sophisticated SYN flood attacks at the cost of 1-second delay for the first established connection. However, the method may not be suitable for all the scenarios, so decision-making algorithm to switch between different SYN Flood mitigation methods according to discovered traffic patterns was also developed. The project was conducted as a part of security research by CESNET. The discussed implementation of TCP Reset Cookies is already integrated into a DDoS protection solution deployed in CESNET's backbone network and Czech Internet exchange point at NIX.CZ.

Bakalářská práce se zabývá návrhem a implementací dvou přístupů pro ochranu před SYN Flood útoky, které patří do DoS útoků. Denial of Service útoky jsou v dnešní době velice rozšířené a jejich provedení není příliš náročné. Přitom mohou způsobit velké finanční škody ať už poskytovatelům připojení, nebo provozovatelům služeb. Cílem práce je zjistit, jestli konvenční algoritmický přístup a heuristický přístup s využitím neuronových sítí jsou schopny mitigace SYN Flood útoků. Podle návrhů obou přístupů byly provedeny jejich implementace. Obě byly následně otestovány., This bachelor's thesis deals with design and implementation of two approaches as protection against SYN Flood attacks, which are part of DoS attacks. Nowadays Denial of Service attack are very widespread and their execution are quite simple. While they can cause big financial damage to internet or service providers. The purpose of this work is to determine that conventional algorithmic approach and heuristic approach using neural network are capable of SYN Flood attacks mitigation. Implementation of both approaches were done by their design. Then both implementations were tested.

Existuje celá řada platforem a systémů určených ke sdílení kybernetických bezpečnostních incidentů a událostí, které často používají rozdílné bezpečnostní formáty. Tímto způsobem dochází ke ztížení nebo přímo nemožnosti sdílení bezpečnostních incidentů a událostí mezi organizacemi, které využívají rozdílné platformy. Řešením tohoto problému může být vznik konvertorů, které jsou schopné převádět používané bezpečnostní formáty mezi sebou. Tato práce se zabývá převodem mezi bezpečnostními formáty IDEA, MISP a STIX. Při konverzi je důležité dbát na postup, aby docházelo k zachování informací, nebo aby při chybném převodu nevznikl jiný druh události, než byl reprezentován původní událostí. Pokud je převod dostatečně přesný, může být jednodušeji dosaženo přesnější a širší analýzy kybernetických bezpečnostních incidentů., There are many platforms and systems designed for sharing cyber security incidents and events, which often use different security formats. This way it gets harder or even not possible to share security incidents and events between organizations, which are using these platforms. Solution of this problem may be creation of converters, which are capable of converting used security formats between each other. This work solves conversion between security formats IDEA, MISP and STIX. In the process of conversion, it is important to care about conversion flow, to prevent information loss or different category of event assignment, than which it was originally represented by. If the conversion is accurate enough, it can be easier achieved more precise and broader analysis of cyber security incidents.

Bakalářská práce se zabývá návrhem a implementací softwarové části systému pro ochranu před DoS útoky. Útoky typu Denial of Service jsou v dnešní době velmi rozšířené a jejich úspěšné provedení může způsobit nemalé finanční škody provozovatelům služeb i poskytovatelům připojení. Hlavním cílem této práce bylo vytvoření softwaru, zaměřeného na vysokou datovou propustnost, který poskytne účinnou ochranu proti těmto útokům, a který umožní nasazení v sítích o rychlosti až 100 Gbps. Klíčovou částí celého systému, vyvíjeného ve spolupráci se sdružení CESNET, je hardwarově akcelerovaná síťová karta, která zpracovává přijímaná síťová data na plné rychlosti linky a realizuje operace určené softwarovou částí. Úkolem softwaru je přitom periodické vyhodnocování získaných informací o síťovém provozu a řízení činnosti hardwarového akcelerátoru. V rámci práce byl proveden detailní návrh softwarové části systému a jeho implementace. Dosažené vlastnosti vytvořené implementace byly následně ověřeny v rámci laboratorního testování. Takto vytvořený systém byl přitom již v době psaní bakalářské práce pilotně nasazen v síťové infrastruktuře akademické sítě CESNET., This bachelor's thesis deals with the design and implementation of the software part of the system for protection against DoS attacks. Nowadays Denial of Service attacks are quite common and can cause significant financial damage to internet or service providers. The main goal of this thesis was to provide software, which is focused on high-speed data throughput and can provide efficient protection against these attacks in 100 Gbps networks. Key part of the system, which is being developed in cooperation with CESNET, is hardware-accelerated network interface card, which can process incoming network traffic at full wire-speed and does the operations laid down by the software part. The main task of the software is evaluation of the information about network traffic and managing actions of the hardware accelerator. The software part of the proposed system has been successfully implemented and the properties of the system have been verified in an experimental evaluation. During the work on this thesis the first implementation of the system has already been deployed in CESNET network infrastructure.

Tato práce se zabývá analýzou záznamů o IP tocích. Záznam obsahuje metadata o IP toku na dané síti, jako IP adresy, čísla portů, čísla komunikačních protokolů a další. Cílem je návrh a implementace metrik pro určování podobností mezi NetFlow záznamy. V první části práce je popis analýzy velkého množství dat. Dále jsou předvedeny techniky monitorování sítě a technologie NetFlow. Další části práce jsou věnovány návrhu a implementaci analýzy dat pomocí DBSCANu. Součástí práce je implementace aplikace pro analýzu síťových metadat. Výslednou aplikaci je možné použít pro detekci skenování sítě v NetFlow datech, ale výsledky nejsou jednoznačné, zejména obsahují i záznamy, které k útoku nepatří., This bachelor thesis is interested in analyzing IP flow records. IP flow record contains IP flow metadata of specific network communication such as IP addresses, port numbers, network protocol numbers and other. Main goal is to design and implement metrices to determine similarity of NetFlow records. At the beginning of this thesis is description of how to analyze great amount of data. Next there are shown network monitoring technicies and NetFlow. Other parts of this thesis are dedicated to design and implementation of data analysis using DBSCAN algorithm. Implementation of data analysis application is also part of this thesis. As a result, the application can be used to network scan detection using NetFlow data although the results are not very clear and contain a lot of legitimate communication.

Cílem této práce je nalézt v síťových bezpečnostních hlášeních skupiny IP adres, které byly detekovány ve stejných či velmi podobných, časových úsecích. Práce představuje algoritmus, jenž data z bezpečnostních hlášení převede do časových řad. Mezi jednotlivými časovými řadami se následně vyhledávají podobné dvojice vektorů. Poté, uspěje-li algoritmus při hledání dvojic, se v nalezených dvojicích hledají podobné trojice, v nich pak podobné čtveřice atd. Vytvořené řešení úspěšně nalezlo v množině analyzovaných dat 208 podobných skupin, přičemž největší z nich obsahují 11 podobných IP adres. Na základě zjištěných údajů je možné v síťových bezpečnostních hlášeních odhalit stroje, které jsou součástí tzv. botnetu., The goal of this work is to find groups of IP addresses in network security reports, which were detected in the same, or very similar, time interval. The work introduces an algorithm, which transforms data from security reports into time series. Between all the time series, similar pairs are searched. Subsequently, in the found pairs, we are looking for similar threesomes, in which we try to find similar foursomes, etc. The created solution successfully found 208 similar groups in the set of analyzed data, the largest of which contains 11 similar IP addresses. Based on the data found it is possible to detect machines that are part of the so-called botnet in network security reports.

Tato bakalářská práce se zabývá možnostmi sledování stavu IPFIX kolektoru, který je určen ke shromažďování metadat ohledně síťového provozu. Stručně seznamuje s problema- tikou monitorování a popisuje aktuální stav IPFIX kolektoru, který je vyvíjen organizací CESNET. Popisuje provozních vlastnosti, jež mohou být monitorovány v rámci sběru dat kolektorem při použití protokolu IPFIX. Navrhuje zásuvný modul kolektoru pro účel sběru a exportu provozních parametrů. Popisuje implementaci a obsahuje výsledky testování no- vého moodulu., This bachelor's thesis addresses possible ways of monitoring IPFIX collector, which is used for the collection of metadata about network traffic. The thesis briefly introduces the pro- blematics of monitoring and describes the current state of IPFIX collector, which is being developed by an organization called CESNET. It also describes service properties, which can be monitored during the process of data collection using the IPFIX protocol. A new plugin is described, which is intended for the collection and the export of service properties. The thesis describes an implementation and contains results of testing of the new plugin.

TCP SYN Flood sa v súčasnosti radí medzi najpopulárnejšie útoky typu DoS. Táto práca popisuje sieťovú mitigačnú metódu TCP Reset Cookies ako jeden z možných spôsobov ochrany. Spomínaná metóda je založená na zahadzovaní všetkých prijatých pokusov o nadviazanie spojenia, až pokým s daným klientom nie je uzatvorená bezpečnostná asociácia na základe využitia mechanizmu TCP three-way-handshake. Tento prístup dokáže efektívne odraziť aj sofistikovanejšie útoky, avšak za cenu sekundového oneskorenia pri prvom nadväzovanom spojení daného klienta. Metóda však nie je vhodná vo všetkých prípadoch. Z tohto dôvodu táto práca ďalej navrhuje a implementuje spôsob dynamického prepínania rôznych mitigačných metód na základe aktuálne prebiehajúcej komunikácie. Tento projekt bol vykonaný ako súčasť bezpečnostného výskumu spoločnosti CESNET. Spomínaná implementácia metódy TCP Reset Cookies je už v čase písania tejto práce integrovaná do DDoS riešenia nasadeného na hlavnej sieti spoločnosti CESNET, ako aj v českom národnom peeringovom uzle NIX.CZ., TCP SYN Flood is one of the most wide-spread DoS attack types used on computer networks nowadays. As a possible countermeasure, this thesis proposes a network-based mitigation method TCP Reset Cookies. The method utilizes the TCP three-way-handshake mechanism to establish a security association with a client before forwarding its SYN data. The algorithm can effectively mitigate even more sophisticated SYN flood attacks at the cost of 1-second delay for the first established connection. However, the method may not be suitable for all the scenarios, so decision-making algorithm to switch between different SYN Flood mitigation methods according to discovered traffic patterns was also developed. The project was conducted as a part of security research by CESNET. The discussed implementation of TCP Reset Cookies is already integrated into a DDoS protection solution deployed in CESNET's backbone network and Czech Internet exchange point at NIX.CZ.

Bakalářská práce se zabývá návrhem a implementací dvou přístupů pro ochranu před SYN Flood útoky, které patří do DoS útoků. Denial of Service útoky jsou v dnešní době velice rozšířené a jejich provedení není příliš náročné. Přitom mohou způsobit velké finanční škody ať už poskytovatelům připojení, nebo provozovatelům služeb. Cílem práce je zjistit, jestli konvenční algoritmický přístup a heuristický přístup s využitím neuronových sítí jsou schopny mitigace SYN Flood útoků. Podle návrhů obou přístupů byly provedeny jejich implementace. Obě byly následně otestovány., This bachelor's thesis deals with design and implementation of two approaches as protection against SYN Flood attacks, which are part of DoS attacks. Nowadays Denial of Service attack are very widespread and their execution are quite simple. While they can cause big financial damage to internet or service providers. The purpose of this work is to determine that conventional algorithmic approach and heuristic approach using neural network are capable of SYN Flood attacks mitigation. Implementation of both approaches were done by their design. Then both implementations were tested.

Existuje celá řada platforem a systémů určených ke sdílení kybernetických bezpečnostních incidentů a událostí, které často používají rozdílné bezpečnostní formáty. Tímto způsobem dochází ke ztížení nebo přímo nemožnosti sdílení bezpečnostních incidentů a událostí mezi organizacemi, které využívají rozdílné platformy. Řešením tohoto problému může být vznik konvertorů, které jsou schopné převádět používané bezpečnostní formáty mezi sebou. Tato práce se zabývá převodem mezi bezpečnostními formáty IDEA, MISP a STIX. Při konverzi je důležité dbát na postup, aby docházelo k zachování informací, nebo aby při chybném převodu nevznikl jiný druh události, než byl reprezentován původní událostí. Pokud je převod dostatečně přesný, může být jednodušeji dosaženo přesnější a širší analýzy kybernetických bezpečnostních incidentů., There are many platforms and systems designed for sharing cyber security incidents and events, which often use different security formats. This way it gets harder or even not possible to share security incidents and events between organizations, which are using these platforms. Solution of this problem may be creation of converters, which are capable of converting used security formats between each other. This work solves conversion between security formats IDEA, MISP and STIX. In the process of conversion, it is important to care about conversion flow, to prevent information loss or different category of event assignment, than which it was originally represented by. If the conversion is accurate enough, it can be easier achieved more precise and broader analysis of cyber security incidents.

Cílem této diplomové práce je navrhnout jazyk, jehož prostřednictvím bude možné monitorovat proud síťových toků za účelem detekce porušení síťové politiky v lokální síti. Byla provedena analýza jazyků užívaných v systémech pro řízení proudu dat a dále byl proveden rozbor zadaných úloh od potenciálního správce sítě. Výstupem zmíněné analýzy je návrh jazyka, jenž znázorňuje zřetězené zpracování skládající se z filtrování a agregace. Tyto operace lze přehledně definovat a spravovat v rámci bezpečnostního pravidla. Výsledkem této práce je také modul Policer integrovaný v systému NEMEA, který dokáže aplikovat hlavní příkazy navrženého jazyka. Modul splňuje požadavky zmiňovaných zadaných úloh a může být použit pro další vývoj v oblasti kontrolování síťových politik., The aim of this master's thesis is to design a language through which it would be possible to monitor a stream of network flows in order to detect network policy violations in the local network. An analysis of the languages used in the data stream management systems and an analysis of tasks submitted by the potential administrator were both carried out. The analysis specified resulted in the language design which represents pipelining consisting of filtering and aggregation. These operations can be clearly defined and managed within security rules. The result of this thesis also results in the Policer modul being integrated in the NEMEA system, which is able to apply the main commands of the proposed language. Finally, the module meets the requirements of the specified tasks and may be used for further development in the area of monitoring network policies.

Administrátori počítačových sietí potrebujú pokročilé nástroje na konfiguráciu sieťových zariadení. Pre tento účel vznikol protokol NETCONF a modelovací jazyk YANG. Cieľom tejto práce je implementovať mechanizmu Zero Touch, ktorý slúži na počiatočnú konfiguráciu NETCONF servera.Tento mechanizmus bude integrovaný do dátového úložiska sysrepo., Computer network administrators need advanced tools to configure network devices. For this purpose, the NETCONF protocol and the YANG modeling language were developed. The aim of this thesis is to implement the Zero Touch mechanism that serves the initial configuration of the NETCONF server. This mechanism will be integrated into the sysrepo datastore.

Cílem této diplomové práce je navrhnout jazyk, jehož prostřednictvím bude možné monitorovat proud síťových toků za účelem detekce porušení síťové politiky v lokální síti. Byla provedena analýza jazyků užívaných v systémech pro řízení proudu dat a dále byl proveden rozbor zadaných úloh od potenciálního správce sítě. Výstupem zmíněné analýzy je návrh jazyka, jenž znázorňuje zřetězené zpracování skládající se z filtrování a agregace. Tyto operace lze přehledně definovat a spravovat v rámci bezpečnostního pravidla. Výsledkem této práce je také modul Policer integrovaný v systému NEMEA, který dokáže aplikovat hlavní příkazy navrženého jazyka. Modul splňuje požadavky zmiňovaných zadaných úloh a může být použit pro další vývoj v oblasti kontrolování síťových politik., The aim of this master's thesis is to design a language through which it would be possible to monitor a stream of network flows in order to detect network policy violations in the local network. An analysis of the languages used in the data stream management systems and an analysis of tasks submitted by the potential administrator were both carried out. The analysis specified resulted in the language design which represents pipelining consisting of filtering and aggregation. These operations can be clearly defined and managed within security rules. The result of this thesis also results in the Policer modul being integrated in the NEMEA system, which is able to apply the main commands of the proposed language. Finally, the module meets the requirements of the specified tasks and may be used for further development in the area of monitoring network policies.