Characteristic of Internet Background Radiation

Transcript

1 Characteristic of Internet Background Radiation Ruoming Pang, Vinod Yegneswaran, Paul Barford,Vern Paxson, Larry Peterson Παρουςύαςη : Ντρύτςοσ Νύκοσ ΑΜ 647

2 Introduction ( 1/ 3) Nonproductive Traffic Πακέτα με προορισμό : invalid destination IP Server εκτός λειτοσργίας Server ποσ τα πακέτα είναι spam

3 Introduction ( 2/ 3) Έλλειψη βιβλιογραφίασ μελέτησ του φαινομένου Αναπάντητα Ερώτηματα: 1. Τι προςπαθεύ να κϊνει το nonproductive traffic? 2. Τρόπουσ φιλτραρύςματοσ? 3. Τρόπουσ εντοπιςμού κακόβουλων δραςτηριοτότων?

4 Introduction ( 3 / 3) Στόχοσ : Χαρακτηριςμόσ του φαινομϋνου Απόδοςη του όρου : background radiation Τρόπουσ καθοριςμού του φαινομϋνου 1. Φύλτρα για μεύωςη των δεδομϋνων 2. Active responders για την διαφοροπούηςη ταξινόμηςη των τύπων του background radiation

5 MEASUREMENT METHODOLOGY 1. Taming large traffic volume a) Χρόςη φύλτρου για μεύωςη όγκου δεδομϋνων και ταύτοχρονη διατόρηςη ποικιλύασ b) Δημιουργύα Scalable responding framework 2. Building application level responders Επϋκταςη τησ ςύνδεςησ διαλόγου Υλοποιηςη διαφορετικών πρωτοκόλλον εφαρμογόσ πχ Http, NetBios κτλ

6 Taming the Traffic Volume - Filtering Στρατηγικϋσ Φιλτραρύςματοσ : A. Source Connection Filtering Διατηρεύ τισ N πρώτεσ ςυνδϋςεισ ανϊ πηγό προϋλευςησ Μειονϋκτηματα 1. Αςυνεπό εικόνα του διαδικτύου ωσ προσ την πηγό 2. Αναποτελεςματικότητα του αριθμού N πχ για την επύθεςη Code red αρκει Ν = 1 ενώ για ϊλλεσ multi stage, multi-vector (welchia, Agobot αντύςτοιχα) εύναι ανεπαρκϋσ

7 Taming the Traffic Volume - Filtering B. Source-Port Filtering Διατηρεύ N ςυνδϋςεισ για κϊθε source/destination port pair. Επιλύει το πρόβλημα των multi-vector (πχ Agobot) Μειονϋκτημα Αςυνεπό εικόνα του διαδικτύου ωσ προσ την πηγό Multistage δραςτηριότητεσ, ςε ϋνα μοναδικό destination port όπωσ Welchia παραμϋνει πρόβλημα.

8 Taming the Traffic Volume - Filtering C. Source-Payload Filtering Διατηρεύ ϋνα ςτιγμιότυπο από κϊθε εύδοσ δραςτηριότητασ ανϊ πηγό. Ποικιλύα δεδομϋνων Μειονϋκτημα Πρακτικϊ δύςκολο ςτην υλοπούηςη Δεν γνωρύζουμε κατϊ πόςο δύο δραςτηριότητεσ εύναι ύδιεσ μϋχρι να ανταποκριθούμε ςε αρκετϊ πακϋτα.

9 Taming the Traffic Volume - Filtering D. Source-Destination Filtering Υπόθεςη : Αν μια πηγό ςυνδϋεται με μια IP address ϋχοντασ μια πρόςφατη δραςτηριότητα, υποθϋτουμε οτι θα δούμε την ύδια δραςτηριότητα ςε όλα τα ύπολοιπα IP address που θα ςυνδεθεύ. Γενικϊ εύναι αποδεκτό Μειονϋκτημα εξαύρεςη του κανόνα ςε περιπτώςεισ Multi-vector worms που διαλϋγουν ενα exploit ανα IP address

10 Effectiveness of Filter on networks

11 Effectiveness of Filter on services

12 Application Level Responders Στρατηγικό δημιουργύασ Responder Παρακολουθούμε το εύδοσ τησ κύνηςησ Προςδιοριςμό του εύδουσ του Responder Εξειδικευμϋνο για μια ςυγκεκριμϋνη επύθεςη. παρϊδειγμα πρωτόκολο Http(port 80), NetBios( port 137/139) κτλ. Ανταποκρινόνται ςτισ αιτόςεισ, προςομοιώντασ τη ςυμπεριφορϊ του ςυςτόματοσ ώςτε να διατηρόςουμε την επικοινωνύα και να εξϊγουμε επιπλϋον κύνηςη

13 Application Level Responders Σημεύωςη : Αρκετϋσ φορϋσ απαιτούνται πολύπλοκοι responders οπου ανταλλϊςουν πολλϊ μηνύματα με την πηγό πρωτού η τελευταύα αποκαλύψει την ειδικό πρόθεςη που εν τϋλη ϋχει.

14 Traffic Analysis 1. Διαχωριςμόσ τησ ανϊλυςησ κύνηςησ από τον responder 2. Σημαςιολογικό ανϊλυςη ςε επύπεδο εφαρμογόσ

15 Traffic Analysis Οςο αναφορϊ το πρώτο, ϋχουμε οφϋλη απο την ανεξϊρτητη ανϊλυςη Χρόςη tcpdump, όπου αποθηκεύουμε τα πακϋτα Επιτρϋπει να διατηρηθεύ πλόρησ πληροφόρηςη τησ κυκλοφορύασ και για μεταγενϋςτερουσ αλγορύθμουσ. Πρόκληςη : Τα εργαλεύα ανϊλυςησ πρϋπει να κϊνουν TCP επαναςυναρμολόγηςη ροόσ και εφαρμογό πρωτοκολλων ανϊλυςησ

16 Traffic Analysis Για να φιλτρϊρουμε το background radiation απο τη φυςιολογικό κύνηςη,απαιτεύ κατανόηςη επιπϋδου εφαρμογόσ τησ όλησ κύνηςησ. Λόγοι 1. Διακριτό διαφορϊ των δύο κινόςεωνμόνο ςε επύπεδο εφαρμογόσ 2. Αδυναμύα ανιχνευςησ διαφορών ςε επύπεδο Transport

17 Σημαντικό περιοριςμό: Traffic Analysis Δεν προςπαθούμε να κατανοόςουμε Binary code ςτα Buffer overrun exploits Δεν μπορούμε να πούμε με ςιγουρια ποιο worm μασ αποςτϋλει ςυγκεκριμϋνο exploits. Έλλειψη κοινόσ βϊςησ δεδομϋνων για worm/virus/autorooter

18 PASSIVE MEASUREMENT OF BACK GROUND RADIATION

19 PASSIVE MEASUREMENT OF BACK GROUND RADIATION

20 PASSIVE MEASUREMENT OF BACK GROUND RADIATION

21 PASSIVE MEASUREMENT OF BACK GROUND RADIATION

22 PASSIVE MEASUREMENT OF BACK GROUND RADIATION Analysis of Backscatter Activity

23 PASSIVE MEASUREMENT OF BACK GROUND RADIATION Analysis of Backscatter Activity

24 PASSIVE MEASUREMENT OF BACK GROUND RADIATION Analysis of Backscatter Activity

25 ACTIVITIES IN BACKGROUND RADIATION Διαίπεζη ηος traffic by ports Η ηαξινόμηζη ηηρ δημοηικόηηηαρ γίνεηαι βάζη ηος απιθμού ηων source IPs και όσι απο ηο μέγεθορ ηων πακέηων -Bytes Λόγοι : 1. οι αλγόπιθμοι θιληπαπίζμαηορ είναι πποζαναηολιζμένοι ππορ ηα sources 2. Μια δπαζηηπιόηηηα με μεγάλο απιθμό sources δέσεηαι να είναι εμθανή ζε ολο ηο διαδίκηςο. 3. Ένα single source μποπεί να είναι αποηέλεζμα ενόρ ιδιόμοπθος host 4. ένα multi-source activity είναι πιο πιθανό να είναι εκ πποθέζεωρ

26 ACTIVITIES IN BACKGROUND RADIATION Οταν ϋνα source host επικοινωνεύ με ϋνα port εύναι ςυνηθιςμενο ότι ςτϋλνει ϋναν ό περιςςότερουσ ανιχνευτϋσ (probes) πριν αποκαλύψει τισ πραγματικϋσ τησ προθϋςεισ. Ενα Probe εύναι αδεια ςυνδεςη, χωρύσ την αποςτολό byte Αύτηςη, πχ HTTP GET /

27 ACTIVITIES IN BACKGROUND RADIATION Μελετϊμε ςυνεδρύεσ και όχι μεμονομϋνεσ ςυνδϋςεισ Ωςτε να αποφύγουμε παρερμηνύεσ πχ τα probes εύναι κυρύαρχα ςτοιχεύα Λαμβανουμε υποψη όλεσ τισ ςυνδϋςεισ μεταξύ ϋνα source destination pair ςτο καθοριςμενο destination port και καταςτελνουμε τισ επαναλόψεισ. Σαφό εικόνα των δραςτηριοτότων ςε κϊθε port.

28 Thank you! Questions?