Lehrstuhl für Systemsicherheit. DNS-Tunnel Detection A Practical Implementation Malte Göbel

Transkript

1 Lehrstuhl für Systemsicherheit DNS-Tunnel Detection A Practical Implementation Malte Göbel

2 DNS-Tunnel Detection A Practical Implementation Inhalt Grundlagen DNS DNS-Tunnel DNS-Tunnel Detection Vorhandene Ansätze Mein Ansatz Praktische Implementierung Umsetzung in Python Evaluierung Ausklang Zusammenfassung Fragen 2

3 DNS-Tunnel Detection A Practical Implementation Inhalt Grundlagen DNS DNS-Tunnel DNS-Tunnel Detection Vorhandene Ansätze Mein Ansatz Praktische Implementierung Umsetzung in Python Evaluierung Ausklang Zusammenfassung Fragen 3

4 DNS Domain Name System Wichtigste Aufgabe: Auflösung von Domain zu IP Domain ist merkbarer als IP Auflösung: Anfrage: Suche IP zu Antwort: IP Adresse lautet: Beschrieben 1987 RFC 1034 RFC 1035 DNS-Anfrage an DNS-Server Bildquelle: 4

5 DNS-Tunnel Warum gerade DNS Kostenplichtige Internetnutzung Internet-Sticks HotSpots Hotels, Bahnhöfe, Züge, etc Kostenpflichtiges Internet im ICE Bildquelle: S. Terfloth Services nutzen selbst DNS, um auf Bezahlseiten zu verweisen DNS wird in Firewalls selten gefiltert Umgehung einer Firewall Bildquelle: primianotucci.com 5

6 DNS-Tunnel Wann es geht Voraussetzungen - an den Service Provider: Auflösung von Domain zu IP-Adresse Keine Filterung von DNS-Resource Records Keine Limitierung der Anzahl von Anfragen - für einen DNS-Tunnel: Kontrolle über einen DNS-Server im Internet Tunnelsoftware auf Server- und Client-System 6

7 DNS-Tunnel Wie es geht Kommunikation zwischen Server und Client Beispiel: Client stellt Anfrage an Server QW5mcmFnZSBhbiBTZXJ2ZXI.tunnel.dns Server antwortet auf Anfragen SGllciBpc3QgZGllIEFudHdvcnQgYXVmIGRpZSBBbmZyYWdl.tunnel.dns Low-Level-Domain (LLD) enthält codierte Information Software encodiert und verarbeitet LLD 7

8 DNS-Tunnel Detection A Practical Implementation Inhalt Grundlagen DNS DNS-Tunnel DNS-Tunnel Detection Vorhandene Ansätze Mein Ansatz Praktische Implementierung Umsetzung in Python Evaluierung Ausklang Zusammenfassung Fragen 8

9 Vorhandene Ansätze Character-Frequency-Analysis Kenton Born and Dr. David Gustafson 2010 Auftrittsanalyse von Buchstaben Sprache Normale Domain Tunneltraffic Erstellung N-Grammen Berechnung von Anomalien Vor- und Nachteile der Erkennung: Anwendbar auf jeden DNS-Tunnel Keine Identifizierung von Programmen Character-Frequency-Analysis Bildquelle: 9

10 Vorhandene Ansätze Iodine Detection Capture the Flag 2010 Pcap-Datei mit Wireshark analysiert DNS-Tunnel da sehr viele DNS-Anfragen Analyse von dem Tunnel-Tool Iodine Detektierung von Iodine-spezifischen Eigenschaften Verwendung von Iodine-Decodierfunktion Extrahierung von getunneltem Traffic Vor- und Nachteile der Erkennung: Nur Iodine wird detektiert Getunnelter Traffic wird sichtbar 10

11 Mein Ansatz Auf Basis von Capture The Flag DNS-Tunnel mit verschiedenen Tunnelprogrammen aufbauen Netzwerkmitschnitt erstellen und mit Wireshark analysieren Erkennen von progammspezifische Eigenschaften Regelsätze für Tunnel-Tools entwickeln Implementierung der Regelsätze in ein Python-Programm 11

12 Mein Ansatz Verschiedene DNS-Tunnel-Programme OzymanDNS Von Dan Kaminsky (2004) in Version (instabil) Andreas Gohr überarbeitete Tool 2008 in Python-Programm Baut ssh-verbindung über DNS auf Dns2tcp Von Olivier Dembour (2008 in v ) Baut TCP-Verbindung über DNS auf (ssh, http, imap, etc.) TUNS Von Lucas Nussbaum 2007 veröffentlicht Baut IP-over-DNS-Verbindungen auf Iodine Von Erik Ekman und Bjorn Andersson (2010 v ) Ebenfalls IP-over-DNS mit TUN-Adaptern 12

13 Mein Ansatz OzymanDNS-Analyse mit Wireshark Eigenschaften Mehrer Anfragen an selben DNS-Server (hier gekürzt) Verwendung von TXT-RR OzymanDNS Wireshark-Analyse ID-Nummer in Domain (id-28959) Inhalt des TXT-RR base64 encodiert OzymanDNS TXT-Resource Record 13

14 Mein Ansatz TUNS-Analyse mit Wireshark Eigenschaften Mehrere Anfragen an selben DNS-Server Verwendung von CNAME-RR Max. Länge der Subdomain von 63 Bytes Spezifische Nutzung von 'r[id]', 'l[#pakete]', 'd[a-z][2-7]{62}.' und 'dzero.' TUNS Wireshark-Analyse 14

15 DNS-Tunnel Detection A Practical Implementation Inhalt Grundlagen DNS DNS-Tunnel DNS-Tunnel Detection Vorhandene Ansätze Mein Ansatz Praktische Implementierung Umsetzung in Python Evaluierung Ausklang Zusammenfassung Fragen 15

16 Umsetzung in Python Allgemeines Programmiersprache Python Nutzung von dpkt und scapy Paketen Für jedes Tunnel-Tool eine eigene Detektierungsfunktion Sammeln aller gefundenen Tunnel in Array Separierung der einzelnen DNS-Tunnel mit tshark Extrahierung bei Iodine-Tunneln mit CTF-Iodine-Skript 16

17 Umsetzung in Python Beispiel: TUNS Eigene Funktion tuns() Sucht mit regulären Ausdrücken nach spezifischen Eigenschaften re.search(r'dzero.', query.cname) Gleiches für r[id], l[#pakete] und d[a-z2-7] Stringmanipulation um TUNS eigene Encodierung rückgängig zu machen diuaaavhb2eaaaqabvwb4bkbvalakqnibaaabr6bpseajfsfc3rhsn3yaaaeasc.qlbqgq4dyqc EJBGFAVCYLRQGI2DMOB2HQ7EAQSEIZEEUTCOKBJFIVSYLJOF4YDC.MRTGQ2TMNY String kürzen um ersten Buchstaben ('d') und Domain Alle Punkte ersatzlos löschen '0' durch '='-Zeichen ersetzen Klassifizierung als TUNS-Tunnel falls neuer String base32 codiert ist 17

18 Evaluierung Testen des Programms Programm mit pcaps starten pcap-datei einzelner Tunnel-Tools pcaps mit tunnelfreiem Traffic Zusammengefügte pcaps verschiedener Tools Alles zusammen Programmparameter 'n' Gesetzt: nur Detektieren der DNS-Tunnel Nicht gesetzt: zusätzliche Separierung und Extrahierung Laufzeitberechnung des Programms 18

19 Evaluierung Testergebnis Alle verwendeten Tunnel-Programme werden gefunden FalseNegativ bei unberücksichtigten DNS-Tunnel-Tools Keine FalsePositiv Keine Fehler bei Separierung und Extrahierung Laufzeitberechnung (Xeon 2 GHz) mit 40 MB großer Inputdatei Mit Parameter 'n': ca Pakete/Sek. werden analysiert Ohne 'n': ca Pakete/Sekunde tshark: 40MB pcap wird je gefundenen Tunnel analysiert CTF-Skript analysiert iodine-pcap ebenfalls 19

20 DNS-Tunnel Detection A Practical Implementation Inhalt Grundlagen DNS DNS-Tunnel DNS-Tunnel Detection Vorhandene Ansätze Mein Ansatz Praktische Implementierung Umsetzung in Python Evaluierung Ausklang Zusammenfassung Fragen 20

21 Zusammenfassung Möglicher Ansatz DNS-Tunnel sind nach wie vor aktuell Verschiedene Ansätze zur Detektierung existieren Verwendeter Ansatz erkennt zuverlässig behandelte Programme Implementierung könnte erweitert werden Unterstützung anderer Tunnel-Programme Extrahierung des gesamten getunnelten Verkehrs Implementierung zusätzlicher Ansätze (z.b.: CFA) 21

22 Fragen? 22

23 Danke Für die Aufmerksamkeit! 23