P2P als 0-day-bescherming?

Dat zegt althans onderzoeker Senthil Cheetancheri van beveiligingsaanbieder SonicWall in een interview met Networkworld. P2P-software kan samenwerken met bestaande beveiligingsmechanismen, zoals firewalls en andere beveiligingspakketten. Aanvalspatronen kunnen zo sneller worden herkend, zo luidt de theorie.

Cheetancheri heeft het project meegenomen van zijn tijd als onderzoeker voor de Universiteit van Californië. In 2006 heeft hij het principe al verwerkt in een paper, die hij heeft opgesteld samen met onderzoekers van Intel, maar totnogtoe is hij nog geen partijen tegengekomen die het gaan vercommercialiseren. In de tussentijd heeft de onderzoeker met collega's wel een experimentele engine gebouwd, maar daar moet volgens hem nog veel aan gebeuren voordat die succesvol kan draaien in een productienetwerk, zonder dat te veel andere applicaties worden beïnvloed.

Het idee van Cheetancheri is eenvoudig: systemen aangesloten op een P2P-netwerk delen informatie met elkaar die ze halen van de verschillende geïnstalleerde volgsystemen. Die gegevens worden vergeleken met die van willekeurige andere aangesloten systemen, en zo kan de kans dat er een worm-aanval plaatsvindt goed worden ingeschat.

Een dergelijk systeem maakt gebruik van verschillende statistische technieken om vast te stellen of het daadwerkelijk om een aanval gaat. "Het hangt allemaal af van het aantal gebeurtenissen en het aantal systemen die worden bekeken", zegt Cheetancheri tegenover de Techworld-zustertitel, "maar als genoeg steekproeven dezelfde uitkomst geven, dan kun je met redelijke zekerheid vaststellen dat het om een worm gaat."

Mocht eruit komen dat er daadwerkelijk een aanval gaande is, dan kan de software op verschillende manieren reageren. Dat zou sowieso met een kosten-baten analyse beginnen: heeft het zin om het verlies te nemen en het geïnfecteerde systeem direct af te sluiten, of kan het systeem in productie blijven tot het gat is gedicht en de worm verwijderd? Bij het configureren moeten de eventuele financiële gevolgen van het afsluiten van een systeem nog wel worden ingesteld, maar uiteindelijk is het de bedoeling dat geen menselijk element meer in de ketting zit.

De voordelen van een dergelijk systeem zijn volgens Cheetancheri vooral dat het goedkoop is, en dat het opgebouwde netwerk erg stabiel wordt; goedkoop, omdat het slechts een keer met de benodigde kostendata hoeft te worden ingesteld, en stabiel omdat er geen 'single point of failure' bestaat.

Bron: Techworld