Bezpečnostní monitoring a detekce anomálií, případová studie botnet Chuck Norris. Petr Špringl springl@invea.cz

Transkript

1 Bezpečnostní monitoring a detekce anomálií, případová studie botnet Chuck Norris Petr Špringl springl@invea.cz

2 INVEA-TECH Česká společnost, univerzitní spin-off, spolupráce CESNET a univerzity, projekty EU Přes 100 instalací na českém trhu Desítky provedených analýz a měření sítí, např. Zákaznické reference akademická sféra univerzity, knihovny, AV státní sféra magistráty, kraje, nemocnice soukromá sféra od malých až po největší společnosti poskytovatelé internetu Mnoho referencí i ze zahraničí, např. Korea Telecom 2/48

3 Agenda Bezpečnost několik zajímavých statistik Základní přehled běžně používaných bezpečnostních nástrojů Bezpečnostní monitoring (monitorování datových toků) Objevení botnetu Chuck Norris případová studie 3/48

4 Malware Zdroj: McAfee Threats Report: Fourth Quarter /48

5 Botnety infikovaná zařízení Zdroj: McAfee Threats Report: Fourth Quarter /48

6 Botnety infikovaná zařízení Zdroj: McAfee Threats Report: Fourth Quarter /48

7 Motivace útočníků Zdroj: Radware 2011 Global Application& Network Security Report 7/48

8 Zveřejněné úniky dat Zdroj: McAfee Threats Report: Fourth Quarter /48

9 Botnet as a Service Zdroj: McAfee Threats Report: First Quarter /48

10 Nás se to přeci netýká. Nebo?

11 Útoky v ČR 11/48

12 Útoky v ČR 12/48

13 Útoky v ČR A řada dalších Ochranný svaz autorský Parlament ČR Intergram. 13/48

14 Co s tím? Jak se bránit?

15 Běžně používané bezpečnostní nástroje Firewall

16 FIREWALL OK

17 Běžně používané bezpečnostní nástroje Intrusion Detection System IntrusionPreventionSystem

18 IDS/IPS OK STOP

19 Běžně používané bezpečnostní nástroje Anti Virus, Anti Spyware,

20 ANTI-X OK

21

22 Bezpečnost sítě - trendy Nové trendy vyžadují používání moderních nástrojů 22/48

23 Bezpečnost sítě - trendy Již se nestačí bránit pouze na perimetru 23/48

24 Moderní přístup Bezpečnostní monitoring sítí (monitorování datových toků -NetFlow)

25

26 Moderní přístup Detekce nežádoucího chování

27

28 Moderní přístup Detekce anomálií

29

30

31 Technologie NetFlow Měření na základě IP toků analyzují se pouze hlavičky paketů, obsah paketů není monitorován ani uchováván (ochrana osobních údajů) Moderní metoda monitorování sítí, Cisco standard v5/v9 31/48

32 Architektura Zdroje síťových statistik (např. specializované sondy) monitoring síťového provozu a export NetFlow dat Kolektory NetFlow dat analýza, vyhodnocení a vizualizace síťových statistik 32/48

33 Přínosy monitorování toků Detailní přehled o dění v síti (LAN i WAN) -jak v reálném čase, tak kdykoliv v minulosti Top N statistiky (uživatelé, služby, navštěvované servery) uživatelské pohledy (pobočky, servery, uživatelé, protokoly) rozkrytí až na úroveň jednotlivých komunikací upozorňování/alerting Zvýšení bezpečnosti, odhalení vnitřních i vnějších útoků Vyšetřování a dohledávání incidentů Přínosy i pro správu a management sítě přesné, rychlé a efektivní řešení problémů snadné plánování kapacit a optimalizací sítě dohled nad využitím Internetu, využitím aplikací předcházení incidentům jako jsou zahlcení a výpadky sítě odhalení špatných konfigurací 33/48

34 Analýza chování sítě Network Behavior Analysis(NBA) Moderní nadstavba nad monitorováním datových toků Automatická pokročilá detailní analýza NetFlow dat Detekce nežádoucích vzorů chování vnitřní i vnější útoky nežádoucí služby a aplikace Behaviorální analýza profily chování detekce anomálií, podezřelého chování Účinné i pro moderní útoky psané na míru 34/48

35 Přínosy NBA systémů Detekce vnitřních i vnějších útoků, změn chování v síti Rychlý přehled o všech událostech v síti včetně okamžité indikace problémů Kontrola přístupů uživatelů k datovým zdrojům Dohledávání a prokazování bezpečnostních incidentů Porovnání bezpečnostních politik se skutečným stavem Prevence před únikem informací ze společnosti Odhalení útoků, které jsou nedetekovatelné jinými nástroji 35/48

36 Objevení botnetuchucknorris CSIRT-MU díky monitorování sítě (monitorování datových toků) Bezpečnostní monitoring INVEA-TECH 2012

37 Botnet Objevení botnetuchucknorriscsirt-mu díky monitorování sítě (monitorování datových toků) Co je botnet? bot = škodlivý software, vyspělejší sourozenec virů a červů botnet = síť botů(napadených počítačů) Obecné vlastnosti botnetů vzdáleně ovládaná síť napadených počítačů (IRC protokol) vyhledávání zranitelných počítačů zneužití napadených počítačů pro nelegální činnost 37/48

38 Proč botnet? Zdroj: Yury Namestnikov The economics of Botnets 38/48

39 Proč botnet? Zdroj: Yury Namestnikov The economics of Botnets 39/48

40 Odhalování botnetů Antivirus, Antimalware, Antispam, Anti... tradiční způsob detekce a ochrany před škodlivým kódem reaguje na známé hrozby poté co jsou objeveny zaměřeno na ochranu běžných uživatelů OS Honeypoty nástraha pro útočníka, aby se svojí aktivitou prozradil primárně nijak nechrání síť zaměřeno na odhalení a analýzu nových forem malware Bezpečnostní sledování sítě a analýza výstupů každý v síti zanechává stopy zajímavé protokoly DNS, HTTP, SMTP, IRC... 40/48

41 Odhalení botnetu Chuck Norris Mnoho pokusů z celého světa opřipojení ke službě TELNET odhaleno díky monitorování sítě (monitorování datových toků) kdo dnes používá TELNET??? proč se zařízení z celého světa chtějí připojit na TELNET port? Následná podrobnější analýza situace vedla k odhalení botnetu 41/48

42 Odhalení botnetu Chuck Norris Zpětné trasování zjištěno, že se jedná o ADSL modemy, WIFI routery Připojení na nakažené zařízení jednoduchý slovníkový útok Analýza činnosti nakaženého zařízení Připojení na řídící server Analýza chování botnetu 42/48

43 Botnet Chuck Norris Napadá linuxové servery ADSL modemy, WIFI routery, satelitní přijímače Napadená zařízení se snaží nakazit další zařízení (skenování portů - TELNET, slovníkové útoky jen 15 hesel!!!) se připojují k centrálnímu serveru, jenž jim udílí příkazy (IRC) 43/48

44 Botnet Chuck Norris Čas překladu nástroje pnscan Nejstarší soubory na distribučním serveru Objevení botnetu na MU Snahy o ukončení botnetu(csirt-mu) ChuckNorrisv2 květen 2010 Různé modifikace dodnes Hydra Aidra( )??? 44/48

45 Útoky stále pokračují Botnet Aidra satelity, VOIP zařízení, mediální centra 45/48

46 Chuck Norris - shrnutí Napadá ADSL modemy, WIFI routery, satelitní přijímače > takových zařízení celosvětově napadený uživatel neví, že se podílí na nelegální činnosti napadené zařízení je trvale připojeno k Internetu nelze detekovat standardními ANTI řešeními možnost manipulace s veškerým provozem do/z napadené sítě Útok založen na triviálním slovníkovém útoku (15 hesel) Celá řada operátorů podcenila hrozbu banálního útoku Schází zdroje pro odhalování podobných útoků -projevy chování botnetu se dají jen těžce přehlédnout [R]anger Killato : in nome di Chuck Norris! 46/48

47 Co přijde příště? Nárůst používání síťových technologií v el. zařízeních Jakékoliv zařízení s IP adresou je potenciálně nebezpečné inteligentní budovy, technologické sítě, infrastruktura Monitoring datových toků je klíčovou technologií!!! 47/48

48 Děkuji za pozornost Váš partner ve světě vysokorychlostních sítí Petr Špringl INVEA-TECH a.s. U Vodárny 2965/ Brno Prezentace vznikla za spolupráce a při použití zdrojů projektu CYBER projekt Ministerstva Obrany ČR realizovaný ÚVT a FI Masarykovy Univerzity. 48/48