Netzbasierte Erkennung von mittels Port Knocking versteckten … · 2015. 8. 6. · Was ist Port...

Netzbasierte Erkennung von mittels PortKnocking versteckten Diensten und Back-doorsFelix von Eye, Michael Grabatin, Wolfgang Hommel

Wichtige Abgrenzung

Was wir nicht betrachten:

Schwachstellen

Eingebaute Hintertüren in regulären Diensten, z. B.

Umgehung der AutorisierungskomponenteUndokumentierte Default-Passwörter

Dies erfordert fundamental andere Erkennungsalgorithmen.

⇒ Wir fokussieren uns im Folgenden auf die Erkennung vonversteckten Diensten.

08.06.2015 Felix von Eye — Backdoors — 8. DFN-Forum 2

Wichtige Abgrenzung

Schwachstellen

Wichtige Abgrenzung

Schwachstellen

Wichtige Abgrenzung

Schwachstellen

Wichtige Abgrenzung

Schwachstellen

Was ist Port Knocking?

Client 2

TCP: 5002 TCP:80 UDP:53 ICMP TCP:443 TCP:5002Server

SYNRST

SYNACKPSHFIN

Typ 8Code 16

Zeitlicher Ablauf der Port-Knocking-Sequenz

Client 1

SYNRST

Gegenmaßnahmen?

Firewalls

Lokales Scannen nach aktiven Diensten

Analyse des Netzverkehrs

Aber: Geht das auchin heterogenen, nicht zentral administriertenHochschulnetzen?

bei gut gemachter Malware, die Rootkit-Funktionalitätenbesitzt?

ohne Tool-Unterstützung?

Gegenmaßnahmen?

Firewalls

Lokales Scannen nach aktiven Diensten

Analyse des Netzverkehrs

Aber: Geht das auchin heterogenen, nicht zentral administriertenHochschulnetzen?

bei gut gemachter Malware, die Rootkit-Funktionalitätenbesitzt?

ohne Tool-Unterstützung?

Grundsätzliche Ideen

„Kenne dein Netz und deine Dienste“Regelmäßige Ermittelung des Ist-Zustands

„Kenne deine Kommunikation“Speichern von relevanten KommunikationsmetadatenKommunikation von regulären Diensten ausfilternFlow-Records korrelieren und filtern, um z. B. Portscans zuerkennen

„Erkenne Backdoors“Erkennung von irregulären DienstkommunikationsmusternErkennung der Port-Knocking-Sequenz

Datenquellen

Mögliche Quellen für den Ist-ZustandPortscansCMDBmanuelle Eingruppierung

Flow Records zur Speicherung der Kommunikationsmuster

ausgewählter Teil der Header-Informationen, insb. keinPayload, verfügbarFlow-Records-kompatiblen Protokolle (insb. TCP, UDP undICMP)manuelle Eingruppierung

Netz- Interface

Flow-Record-Aggregator

Portscanner

Filterung & Sequenzerkennung

mit Perl

Cflow.pm

Flow-Record-Dateien

Portscan-Datei

Konsolenausgabe

Konfigurations-parameter &

Ausnahmeliste

Datenquellen

Flow Records zur Speicherung der Kommunikationsmusterausgewählter Teil der Header-Informationen, insb. keinPayload, verfügbarFlow-Records-kompatiblen Protokolle (insb. TCP, UDP undICMP)manuelle Eingruppierung

Netz- Interface

Portscanner

mit Perl

Cflow.pm

Flow-Record-Dateien

Portscan-Datei

Konsolenausgabe

Ausnahmeliste

Datenquellen

Flow Records zur Speicherung der Kommunikationsmusterausgewählter Teil der Header-Informationen, insb. keinPayload, verfügbarFlow-Records-kompatiblen Protokolle (insb. TCP, UDP undICMP)manuelle Eingruppierung

Netz- Interface

Portscanner

mit Perl

Cflow.pm

Flow-Record-Dateien

Portscan-Datei

Konsolenausgabe

Ausnahmeliste

Wie wird ein versteckter Dienst erkannt?

Verbindungsrichtung

Systemklassifikation

Protokoll

Ausgehend

Eingehend

Reaktion

Vollständiger Handshake

Kein Dienst oder Firewall

Portscan erkennt Dienst

Versteckter Dienst

Regulärer DienstJa

Erlaubte Verbindung

Kann nicht näher kontrolliert werden

Server

ClientPotentielle Backdoor

Automatisches Update oder ähnliches

Gleiche Pakete auch an andere Hosts

Potentiell verdächtigAntwort

Vermutlich Portscan oder ähnliches

Potentiell verdächtig

Erkennung der Port-Knocking-Sequenz

Wird bei erkannten versteckten Diensten durchgeführt

Nützlich zum Finden von ähnlicher Malware

Erleichtert die forensische Analyse

Wertet die letzten 10ms der Kommunikation aus

Prototypische Tests

Internet Aufzeichnen von Flow-Records

Prototypische Tests

6 Systeme, 3 Linux-Server, 3 Windows-Server/-ClientsSammlung der Flow-Records auf der Auswerteeinheit;Überwachung jeglicher KommunikationInstallation verschiedener Dienste und BackdoorsNutzung dieser Dienste im Friendly-User-Betrieb

Prototypische Tests

Sammlung von > 1 000 000 Flow RecordsPortscan mit nmap; Auswertung durch Perl-PrototypErkennung aller genutzten Port-Knocking-SequenzenNur 16 False Positives

Erkannte Schwächen

Export der Flow-Records nur zeitverzögert (bis 15 MinutenDelay)

Prototyp ist bisher noch ein wenig langsam

Zusammenhängende Port-Knocking-Sequenzen nur innerhalbeines Zeitfensters von 10ms

Noch nicht alle Dienste werden zuverlässig als legitim erkannt(z. B. FTP)

Erkennung von Portscans zum Ausfiltern muss noch verbessertwerden

Zusammenfassung

Flow-Record-basiertes Verfahren

Einpflegen von relevanten Background-Wissen (legitimeDienste und Netzbereiche)

Erkennung von irregulären Dienstkommunikationsmustern

Erkennung von einfachem Port-Knocking-Sequenzen

Prototypische Implementierung

Relativ geringe Anzahl von False Positives

Ausblick

Schutz von kritischen Systemen in speziellen Netzen

Integration des Ansatzes in Honeypots

Portierung für Software Defined Networks

Fragen?

Kontakt:Felix von Eye

[email protected]

Netzbasierte Erkennung von mittels Port Knocking versteckten … · 2015. 8. 6. · Was ist Port...

Documents

Transcript of Netzbasierte Erkennung von mittels Port Knocking versteckten … · 2015. 8. 6. · Was ist Port...