Abschlussvortrag zur Bachelorarbeit: Untersuchung von DNS Verkehr durch passive Verkehrsmessungen

Transkript

1 Lehrstuhl für Netzarchitekturen und Netzdienste Institut für Informatik Technische Universität München Abschlussvortrag zur Bachelorarbeit: Untersuchung von DNS Verkehr durch passive Verkehrsmessungen Betreuer: Lothar Braun Sebastian Krebs 24. November 2010

2 Inhalt Ziele Verwandte Arbeiten Entwurf und Implementierung Bro Skripte Fast Flux Detektor DNS Crawler Analyse allgemeine Beobachtungen zum DNS Verkehr Fast Flux Analyse Fazit 2

3 Passive Messung von DNS DNS Server (A) 1 Client A (A) 2 DNS Server (A) 4 (A) 3 (B) 1 (B) 2 Client B Monitoring 3

4 Fast Flux Domains Fast Flux NS C&C Server 5 6 Proxies Lokaler NS example.com.? Bots DNS Reply Domain TTL Class Type IP Adresse example.com. 12 IN A example.com. 12 IN A example.com. 12 IN A Untersuchung example.com. von DNS Verkehr 12 durch IN passive AVerkehrsmessungen 4

5 Verwandte Arbeiten Nazario, Holz [2008]: FHY Anzahl autonomer Systeme, Anzahl einzigartiger IPs FluxScore: f ( x) = 1.32 na nasn + 0 nns Schwellwert: b = Holz, Gorecki, Rieck, Freiling [2007]: FMUL TTL IP Werte (Abstand, Anzahl) Autonome Systeme SOA Retry Scoring System Gemeinsamkeit: aktive Messungen 5

6 Ziele Monitoring von DNS Erweiterung von Bro (IDS) Implementierung verschiedener Skripte Unterschied zu Related Work: Passive Messungen Auswertung an echten DNS Daten Anonymisierte DNS Daten des MWN Allgemeine Statistiken/Kennzahlen zum DNS Verkehr Erkennen von Fast Flux Domains Berücksichtigung verschiedener Fast Flux Indikatoren Implementierung eines Fast Flux Domain Detektors 6

7 Bro Skripte und DNS Filter N etzw erk Internet M onitor Bro Bro Skripte DNS Kennzahlen Logs FF Detektor Fast Flux Dom ains 7

8 Allgemeine Analyse Allgemeine Kennzahlen 28.6 % aller DNS Anfragen gar nicht beantwortet 64.4 % aller DNS Anfragen mit No_Error beantwortet 65.7% der DNS Anfragen stammten von einem lokalen DNS Server 71.4% der DNS Antworten stammten nicht aus einem Cache TLDs mit den meisten TLDs welche die meisten Records Subdomains zurücklieferten Domain Anzahl der Subdomains Domain Anzahl Records.com net ,90.de com ,67.org de ,58.net org ,73.ru cn ,30 Ø beobachtete Records/Domain 8

9 Domain Beobachtungen: Anzahl der Records Zwei Gründe für viele Records: 1. Große Beliebtheit der Domain 2. Hohe Anzahl an zurückgelieferten Records pro Domain CDN Anbieter 9

10 Domain Beobachtungen: Anzahl der Subdomains Viele Subdomains durch: generische Domains Domainverteilung erst ab 3rd Level Domain (z.b. co.uk) 10

11 Fast Flux Analyse Erste Auswertung der Bro Logs mit Hilfe der Blacklisten Zu wenige FF Domains gesichtet Viele falsche Positive CDN Cloud Services Verdächtige Domains, die nicht in den Blacklisten vorkommen: eff5f206553f8e2e.panelsconsul.com ebdd4ab2.wingerstaffs.com 08178e9288bffd3b.killersissued.com è weitere Untersuchungen notwendig è künstlich erzeugte DNS Queries zu FF Domains è usprünglich Teil einer anderen BA 11

12 DNS Crawler Eigene Domains Alexa Top 500 Domains DNS Crawler Schnittstelle zum Internet Nameserver Fast Flux Domains von Blacklist Bro NIDS Datenbank Monitor 12

13 DNS Crawler und Bro DNS Crawler Nameserver Netzwerk M onitor Internet Viele FF Domains Bro Bro Skripte DNS Kennzahlen Logs FF Detektor Fast Flux Dom ains 13

14 Auswertung der beiden Detektoren Zweite Auswertung mit Hilfe des FF Detektors: Richtig Positive (beide Detektoren): 32 Falsch Positive FHY : 2372 Falsch Positive FMUL : 7433 Falsch Negative (beide Detektoren): 78 Grund für falsche Negative: Blacklisten stimmen nicht! Grund für falsche Positive: CDNs, Cloud Services 14

15 Untersuchung der FF Domains Falsch Negative Richtig Positive # Domain Beobachtung: Bei 70 von 110 Domains nur eine IP Adresse, nur ein autonomes System Sehr untypisch für Fast Flux Domains 15

16 Untersuchung der Richtig Positiven # Domain Starke Streuung der IP Adressen über autonome Systeme Zwei Strategien der IP Verbreitung ASN FluxScore hätte bei allen 32 erkannten FF Domains gereicht! 16

17 Untersuchung der Falsch Positiven Viele IP Adressen Wenige Autonome Systeme Bei ca. 55% der als positiv markierten Domains reicht die Anzahl der IP Adressen bereits aus um b = zu erreichen àkeine Beachtung der ASN Anzahl mehr! Bei 50% der Falsch Positiven lagen die IP Adressen in nur einem einzigen Autonomen System 17

18 Zusammenfassung Blacklists sind weder korrekt noch vollständig Falsche Negative sind möglicherweise keine Aktiven Messungen für Ground Truth benötigt o DNS Crawler Kriterien aus Related Work matchen auf viele normale Domains Grundlage für weiterführende Arbeiten geschaffen Untersuchung der falschen Positiven (Reduktion) 18

19 Danke für Ihre Aufmerksamkeit 19