STRUČNĚ O PROJEKTU

Název projektu
Sondy pro analýzu a filtraci provozu na úrovni aplikačních protokolů

Bezpečnostní hrozba
Kriminalita

Cíl projektu
Cílem projektu bylo vytvořit pro orgány činné v trestním řízení malé flexibilní síťové sondy umožňující zákonné odposlechy až do úrovně aplikační vrstvy. Pro dosažení požadovaného výkonu byl využit koncept softwarově definovaného monitorování a výkonná výpočetní platforma s FPGA SoC. Sonda umí kromě detailní analýzy a přesné filtrace provozu poskytovat informace o kvalitě měřených dat, identifikovat šifrovaný provoz, poskytovat statistické informace a přizpůsobí sběr dat dostupným hardwarovým zdrojům.

Příjemce
Vysoké učení technické v Brně / Fakulta informačních technologií

Doba realizace
1. 9. 2015 – 31. 5. 2019

Projekt byl podpořen dotací ve výši 21 691 000 Kč.

 

PODROBNĚ O PROJEKTU

Autoři: Výzkumná skupina akcelerovaných síťových technologií FIT VUT v Brně pod vedením doc. Ing. Jana Kořenka, PhD.

Díky rostoucímu významu informačních a komunikačních technologií je potřeba s ohledem na zajištění bezpečnosti státu a jeho obyvatel předcházet kybernetickým hrozbám a kriminalitě. Pro vyšetřovatele je důležité získat ze sítě kvalitní data, ať už pro účely zákonných odposlechů a/nebo pro analýzu veškerého provozu potřebnou zejména pro bezpečnostní složky státu. V obou případech je důležité zachytit data bez jakýchkoliv ztrát nebo v případě řízené ztráty informovat o rozsahu a charakteru ztracených dat.

Projekt mířil do oblasti zákonných odposlechů, které v ČR upravuje §97 zák. 259/2010Sb., který vychází z evropské legislativy a norem ETSI pro zákonné odposlechy, zejména ETSI TR 101 943 a souvisejících. Ty umožňují v definovaných případech provádět odposlechy komunikace podezřelých osob. Výsledky projektu měly mimo jiné poskytnout technické prostředky pro tyto odposlechy, a přitom dodržovat chování specifikované v uvedených dokumentech a aplikovat jejich myšlenky na neustále se vyvíjející používání počítačových sítí.

Jedním z hlavních plánovaných výsledků projektu byl funkční vzorek “Sondy pro zákonné odposlechy na úrovni aplikačních protokolů”. Funkční vzorek zařízení umožňuje efektivně vyfiltrovat a zachytit na plné rychlosti linky komunikaci konkrétního podezřelého. Funkční vzorek je konstruován pro rychlost 1 Gbps, ale navržená technologie má potenciál škálovat výkonnost až do desítek Gb/s. Zájmový síťový provoz je možné specifikovat nejen na základě standardních IP adres (IPv4, IPv6), ale i pomocí L7 identifikátorů aplikačních protokolů (např. emailová adresa). Umožněna je také kombinace IP adres a L7 identifikátorů. Zájmové pakety jsou následně exportovány na ukládací zařízení, např. zabezpečené vzdálené úložiště. Typicky jsou tyto zaznamenané pakety určeny jako důkazní materiál pro trestní činy způsobené pachateli kybernetické kriminality. I proto jsou kladeny na zařízení relativně náročné požadavky, které bylo potřeba při konstrukci funkčního vzorku splnit.

Funkční vzorek zařízení je založeno na speciální hardwarové platformě ZE7000 s výkonným čipem Xilinx Zynq, který obsahuje procesor ARM s programovatelným hradlovým polem (tzv. FPGA). S využitím technologie FPGA a speciálně navrženým firmware pro zákonné odposlechy je možné zpracovat vstupní síťová data na plné rychlosti linky (tzv. wire-speed) a současně zajistit naprosto tajný odposlech komunikace a zachycení zájmového síťového provozu. Díky propracovanému systému filtrace síťových dat umožňuje prototyp identifikovat konkrétní zájmovou komunikaci, přiřadit každému paketu přesnou časovou značku a poskytnout takto získaná data vyšetřovatelům pro další analýzu. Součástí prototypu je uživatelská dokumentace a několik příkladu použití pro jednoduché nasazení.

     Sonda pro zákonné odposlechy na úrovni aplikačních protokolů

Pro usnadnění nasazení v neznámých sítích také umožňuje funkční vzorek zařízení aktivovat alternativní režim, který zpřístupní statistické informace o síťovém provozu na připojené lince. Tento režim informuje uživatele (vyšetřovatele, apod.) o variabilitě zapouzdření jednotlivých protokolů a poskytuje informace, zda do sondy přichází kompletní síťové toky. Je tak možné ověřit, že sonda je správně připojena do sítě a při aktivaci vybraného záchytu paketů bude úplný i zachycený provoz.

Za vytvoření unikátního zařízení byla autorům výsledku v roce 2018 udělena cena Ministra vnitra: https://www.mvcr.cz/vyzkum/clanek/cena-ministra-vnitra-za-mimoradne-vysledky-v-oblasti-bezpecnostniho-vyzkumu-299037.aspx.

V kvalitě výsledku se promítají dlouholeté zkušenosti týmu v oblasti zpracování síťového provozu a hardwarové akcelerace. Z teoretického hlediska přináší výsledek zcela nový způsob konstrukce zařízení využívající technologii Xilinx Zynq, efektivní rozdělení úlohy mezi hardwarové a softwarové prostředky a v neposlední řadě vysoce výkonnou hardwarovou architekturu pro filtraci síťového provozu. Umožňuje zachytit začátek komunikace i v případě, že L7 identifikátor se nenachází v síťovém toku až po několika paketech. Návrh architektury vychází z technologie publikované v časopisu IEEE Transactions on Networking (Software Defined Monitoring of Application Protocols). Základní hardwarová architektura byla publikována na renomované konferenci ACM/IEEE ANCS (Network monitoring probe based on Xilinx Zynq).

Vytvořený funkční vzorek “Sondy pro zákonné odposlechy na úrovni aplikačních protokolů“ disponuje řadou unikátních vlastností, mezi které patří:

• naprosto tajný odposlech konkrétní internetové komunikace,
• možnost bezeztrátového fungování na plné rychlosti linky,
• exaktní označení komunikace přidáváním přesných časových značek,
• filtraci až na úrovni aplikačních protokolů,
• záchyt kompletního spojení i v případě, že se L7 identifikátor odposlouchávaného nachází až po několika paketech síťového toku,
• komplexní přehled o stavu linky apod.

Mezi další výsledky projektu patří:

• Knihovna softwarových modulů a firmware SDM pro filtraci síťového provozu na úrovni aplikačních protokolů pomocí FPGA SoC (software) - software a firmware, který umožňuje zpracování síťového provozu až do úrovně aplikačních protokolů s využitím hardwarové akcelerace.
• Hardwarová platforma pro vestavěná síťová zařízení s rychlostí linek 10 Gb/s (funkční vzorek) - hardwarová karta využívající výkonné FPGA SoC pro zpracování síťového provozu na rychlosti desítek Gb za sekundu.
• Knihovna akceleračních modulů pro analýzu aplikačních protokolů v FPGA (software) - sada firmwarových komponent pro technologii FPGA, která umožňuje rychlé zpracování síťového provozu. Komponenty řeší úlohu analýzy a filtrace paketů a hledání řetězců popsaných regulárními výrazy.  
   

Policejní a jiné bezpečnostní složky státu využívají Sondy pro zákonné odposlechy na úrovni aplikačních protokol pro tzv. zákonné odposlechy internetové komunikace jako nástroj využívaný při boji s kybernetickou kriminalitou. Ostatní výsledky byly nabídnuty komerčním firmám, které se zabývají oblastí monitorování a bezpečnosti počítačových sítí. Nad většinou výsledků projektu také probíhá další výzkum a vývoj.

       Schématické znázornění nasazení sondy