dip-ids/docs/detection.md

Алгоритмы обнаружения угроз

Общие принципы

Все детекторы реализуют сигнатурный метод обнаружения на основе скользящего временного окна (sliding window). Каждый детектор:

• Потокобезопасен (sync.Mutex на внутреннее состояние)
• Поддерживает дедупликацию — повторный алерт от одного источника не генерируется чаще заданного интервала
• Настраивается через configs/config.yaml без перекомпиляции

---

1. Port Scan (Сканирование портов)

Метод обнаружения

Злоумышленник обычно последовательно обращается к множеству портов на одном или нескольких хостах для выявления открытых сервисов. Детектор отслеживает количество уникальных портов назначения, к которым обращается один источник за фиксированное время.

Алгоритм

Для каждого TCP SYN-пакета (SYN=1, ACK=0):
  key = srcIP
  ports[key][dstPort] += timestamp
  
  Удалить записи старше window_seconds
  
  uniquePorts = count(ports[key])
  if uniquePorts >= threshold:
      если последний алерт был > 30 сек назад:
          создать Alert(type=port_scan, severity=high)

Параметры

Параметр	По умолчанию	Описание
threshold	15	Уникальных портов за период
window_seconds	10	Длина окна в секундах

Пример (Nmap):

Nmap SYN scan (-sS) → пакеты SYN к портам 22, 80, 443, 3389...
После 15-го уникального порта за 10 секунд → алерт

---

2. Brute Force (Перебор паролей)

Метод обнаружения

При переборе паролей атакующий многократно устанавливает TCP-соединение на один и тот же порт аутентификации. Детектор считает количество SYN-пакетов от одного источника к одному порту/хосту назначения.

Мониторируемые порты

Порт	Сервис
22	SSH
21	FTP
23	Telnet
3389	RDP (Windows Remote Desktop)
5900	VNC
25	SMTP
110	POP3
143	IMAP

Алгоритм

Для каждого TCP SYN-пакета на порт из списка:
  key = srcIP + ":" + dstIP + ":" + dstPort
  timestamps[key] += now
  
  Удалить записи старше window_seconds
  
  count = len(timestamps[key])
  if count >= threshold:
      если последний алерт был > 30 сек назад:
          создать Alert(type=brute_force, severity=critical)

Параметры

Параметр	По умолчанию	Описание
threshold	10	Попыток подключения за период
window_seconds	30	Длина окна в секундах

---

3. DoS / DDoS

Метод обнаружения

Атака отказа в обслуживании характеризуется аномально высоким потоком пакетов от одного (DoS) или множества (DDoS) источников. Детектор измеряет скорость пакетов (PPS — Packets Per Second) от каждого IP в скользящем окне.

Алгоритм

Для каждого IP-пакета:
  timestamps[srcIP] += now
  
  Удалить записи старше window_seconds (1 сек по умолчанию)
  
  pps = len(timestamps[srcIP]) / window_seconds
  if pps >= pps_threshold:
      если последний алерт был > 10 сек назад:
          создать Alert(type=dos, severity=critical)

Параметры

Параметр	По умолчанию	Описание
pps_threshold	1000	Пакетов в секунду
window_seconds	1	Длина окна измерения

Ограничение

Детектор срабатывает на отдельные источники. Для распределённого DDoS с тысячами источников необходим дополнительный анализ суммарного трафика к жертве (не реализован в текущей версии).

---

4. ARP Spoofing (Подмена ARP)

Метод обнаружения

Протокол ARP не предусматривает аутентификации, что позволяет злоумышленнику отправить поддельные ARP Reply и связать чужой IP с собственным MAC-адресом (Man-in-the-Middle атака).

Детектор ведёт доверенную таблицу соответствия IP → MAC. При получении ARP Reply проверяется, не изменился ли MAC для уже известного IP.

Алгоритм

Для каждого ARP Reply (operation=2):
  srcIP  = arp.SourceProtAddress
  srcMAC = arp.SourceHwAddress
  
  if srcIP in table:
      if table[srcIP] != srcMAC:
          создать Alert(type=arp_spoof, severity=critical,
                        desc="IP X сменил MAC с A на B")
          table[srcIP] = srcMAC  // обновляем
  else:
      table[srcIP] = srcMAC      // первичная запись

Ограничения

• Таблица очищается при Reset() (смене сессии). При долгом мониторинге DHCP-обновления MAC не вызывают ложных срабатываний только если DHCP lease истёк.
• Не различает легитимное изменение MAC (замена сетевой карты) от атаки.

---

5. DNS Anomaly (Аномалии DNS)

Сценарий A: DNS-туннелирование

DNS-туннелирование — метод передачи данных через DNS-запросы для обхода фаерволов. Данные кодируются в имени запроса, что приводит к аномально длинным меткам.

Нормальная метка (label): www, mail, api — 3–15 символов. Подозрительная метка: aGVsbG8gd29ybGQhIHRoaXMgaXMgYSB0ZXN0 — 38+ символов (base64-данные).

Для каждого DNS запроса (QR=0):
  for label in split(queryName, "."):
      if len(label) > max_label_length (50):
          создать Alert(type=dns_anomaly, desc="DNS tunneling: label length N")

Сценарий B: Высокая частота запросов

Аномально высокое число DNS-запросов от одного хоста может указывать на:

• DNS-туннелирование с разбивкой данных на короткие запросы
• Активность вредоносного ПО (C2 beacon через DNS)
• DGA (Domain Generation Algorithm) — малварь генерирует случайные домены

Для каждого DNS запроса:
  timestamps[srcIP] += now
  Удалить записи старше window_seconds
  
  if len(timestamps[srcIP]) >= query_threshold:
      создать Alert(type=dns_anomaly, desc="High DNS query rate: N queries/Xs")

Параметры

Параметр	По умолчанию	Описание
max_label_length	50	Максимальная длина DNS-метки
query_threshold	200	Запросов за период
window_seconds	60	Длина окна

---

Сводная таблица детекторов

Детектор	Протокол	Метод	Ключ дедупл.	Severity
Port Scan	TCP	Sliding window, уникальные порты	srcIP	high
Brute Force	TCP	Sliding window, частота SYN	srcIP:dstIP:dstPort	critical
DoS	IP	Sliding window, PPS	srcIP	critical
ARP Spoof	ARP	Таблица IP→MAC	srcIP	critical
DNS Anomaly	DNS/UDP	Длина метки + частота	srcIP	medium