Nuvarande system för att upptäcka och förebygga intrång försöker upptäcka en bred klass av nätverksintrång (t.ex. DoS-attacker, maskar, hamnskanningar) vid nätverkssiktpunkter. Tyvärr, alla IDS-system vi vet om hålla per-anslutning eller per-flöde tillstånd. Därför är det knappast förvånande att IDS-system (andra än signaturdetekteringsmekanismer) inte har skalats till multi-gigabit hastigheter. Observera däremot att både routerlookups och fair queuing har skalats till höga hastigheter med hjälp av aggregering via prefixlookups eller DiffServ. I detta dokument inleder vi alltså forskning om huruvida man kan upptäcka attacker utan att behålla perflödestillstånd. Vi kommer att visa att en sådan aggregering, samtidigt som snabba genomföranden möjliggörs, omedelbart orsakar två problem. Först, aggregering kan orsaka beteende aliasing där, till exempel, goda beteenden kan aggregera för att se ut som dåliga beteenden. För det andra, aggregerade system är mottagliga för spoofing som inkräktaren skickar attacker som har lämpliga aggregerade beteende. Vi undersöker en mängd olika DoS attacker och visar att flera kategorier (bandbredd baserad, anspråk-och-hold, värd skanning) kan detekteras skalbart. Däremot verkar det som om smygande hamnskanning inte kan upptäckas ordentligt utan att man behåller perflödestillståndet.
Enligt författarna REF, frågorna om beteende aliasing d.v.s. bra beteende kan aggregeras för att se ut som dåligt beteende (False Positive) och spoofing är huvudsakliga hinder som måste åtgärdas i någon skalbar lösning.
On scalable attack detection in the network
{'venue': "IMC '04", 'journal': None, 'mag_field_of_study': ['Computer Science']}