Guillem Alsina Gonzàlez
Prever um ciberataque DDoS (ataque distribuído de negação de serviço) é semelhante a prever um terramoto ou uma erupção vulcânica: existem algumas padrões, mas, mesmo assim, o conhecimento que as equipas de ciberdefesa têm sobre eles dá-lhes pouca margem para se prepararem.
Embora tenhamos avançado um pouco na área da previsão de cataclismos geológicos, não avançámos tanto na área dos ciberataques DDoS, pelo menos até agora, quando investigadores da Faculdade de Ciência da Computação e Tecnologias da Informação da Universiti Malaya de Kuala Lumpur e da Fakulti Teknologi Maklumat dan Komunikasi (FTMK) da Universiti Teknikal Malaysia Melaka (UTeM), ambas da Malásia, descobriram que é possível utilizar Machine Learning (aprendizagem automática) para prever o comportamento de ciberataques deste tipo.
O trabalho que realizaram, e que podemos ler abertamente, analisa a evolução dos ataques de negação de serviço distribuído (DDoS) e propõe como se pode prevenir o seu comportamento. Os autores baseiam-se no processo CRISP-DM e nos dados do serviço Digital Attack Map para estudar padrões temporais e antecipar atividades futuras com fins de mitigação.
O artigo lembra que, ao contrário de um DoS clássico, um DDoS parte de múltiplas origens e complica a deteção por IDS/IPS, daí o interesse em técnicas preditivas que permitam preparar a resposta com antecedência.
A base de dados utilizada reúne 192 525 incidentes ocorridos entre 1 de janeiro de 2015 e 1 de maio de 2021, com métricas sobre o número de ataques, duração e caudal máximo por evento. O conjunto foi enriquecido com conversões de tempo e caudal (em Gbps) e foram adicionadas séries por dia, semana, mês e ano para análise estatística e para alimentar o modelo.
A equipa concentrou-se, sobretudo, no período da COVID-19, uma vez que este representou um crescimento considerável dos DDoS, tendo em conta que a grande maioria das empresas transferiu a sua atividade para a Internet, deixando de lado a atividade presencial, tornando a rede de redes algo imprescindível que, se fosse interrompida, deixava a empresa vítima do ataque de joelhos e mais propensa a pagar.
O volume acumulado de duração calculado ascende a 825 549 256 segundos (cerca de 628,27 anos) devido à sobreposição de ataques, com um caudal máximo observado de 1,46 Tbps e um incidente que se prolongou por sete dias.
Em termos estatísticos, e de acordo com o comentado anteriormente sobre o período da COVID, entre 2019 e 2020 foi detetado um aumento de 63,65% nos ataques entre 15 e 30 minutos e de 74,13% entre uma hora e um dia, além de um aumento de 38,12% nos fluxos entre 10 e 100 Gbps e de 59,59% na faixa de 100 Gbps a 1 Tbps. Os eventos que ultrapassaram 1 Tbps passaram de 277 para 538, um aumento de 94,22%.
Na fase de previsão, que é o que realmente interessa no trabalho, o modelo desenvolvido (chamado LSTM, de Long Short Term Memory) capturou com razoável fidelidade a forma das curvas para o número de ataques e o caudal máximo, embora tenha tendido a subestimar a magnitude dos picos e tenha apresentado mais dificuldade com a duração. Os autores constatam que aumentar o tamanho da janela e o número de neurónios da rede melhora lentamente o erro, o que sugere margem para melhorias.
O valor prático desta investigação reside em antecipar picos, mesmo que o número exato não coincida, para ativar medidas de contenção antes do impacto máximo.
Do ponto de vista da gestão, os investigadores salientam que compreender as dinâmicas por subclasses, como, por exemplo, fases de agressividade quando crescem simultaneamente a contagem, a duração e o caudal, ou rajadas curtas e frequentes em UDP Misuse, permite ajustar estratégias de defesa.
O trabalho também analisa abordagens de prevenção e mitigação (desde a manutenção de patches até modelos de previsão em tempo real e mecanismos em ambientes SDN) e aponta desafios atuais: a escassez de conjuntos de dados recentes, o custo computacional e a transição de modelos de laboratório para produção.
A conclusão é que combinar análise histórica com previsão de curto prazo ajuda a passar da reação passiva para a preparação proativa.
