APAN NOC会合 APAN NOCにおける キャプチャの計画 2010年10月20日 下田晃弘, 後藤滋樹 早稲田大学

APAN 10G用キャプチャサーバ キャプチャサーバ本体 スペースと電源容量の検討 １０月２０日に後藤研に納品予定 キャプチャサーバ本体 メーカー: Qualest (http://www.qualest.co.jp/) システム型番: Qualest RS3X35R16TBRP 3Uサーバ CPU : Xeon X5650 2.66Ghz 6core  x 1 HDD: Hitachi SATA2 2TB 7200rpm 32MB  x 16   RAID1+0 or RAID0構成 メモリ: DIMM 2GB DDR3 1333Mhz ECC  x 6   (計12GB) 電源: 650W スペースと電源容量の検討 皆様のアドバイスに感謝！ ※　Seagateに変更

ネットワークカード 10G NIC Chelsio 10Gb Ethernet NIC Card　Dual Port N320e-G2-CR 10Gb SFP+ 光モジュール SM10G-LR サイバネテック社の情報によると，キャプチャ用途として実績があるとのこと 光ケーブル 10GBase-LR 光ファイバー  5m  (両端LCコネクタ) ファイバは納品済み

測定ポイント ネットワークの構成ならびにリソースを考慮して APAN 側コアスイッチ MS7 (Alaxala)に 10GBase-LR で収容の予定 コアルータ T640, T1600, E600 や JGN2plus を繋ぐコアスイッチ 複数インターフェイスをミラーすることにより，多様なフローを観測できる

引用: http://www.jp.apan.net/noc/implementation/xpconf.shtml

第２部 キャプチャしたデータの分析（例） ２．１ 仮想センサ ２．２ 仮想ハニーポット

2.1 仮想センサ（Dark IP） Block all incoming packets 実センサ（ハードウェア） Firewall PC Anomaly packets logging No response Attacker Firewall PC Sensor Box (Dark IP) Pass through all incomming packets

仮想センサ 物理的なマシンを設置しない Normal Servers No service offered Attackers Normal Hosts Mutual Access No service offered One-way Access Attackers Unused IP space Netflow packets Virtual Sensors 物理的なマシンを設置しない

Netflow AS 1000 AS 2000 Host A Host B export Netflow v5 record Fa 1/0 ＩＰ Y.Y.Y.Y /24 port 20 ＩＰ X.X.X.X /24 port 23221 export Netflow v5 record Start Time 2006/3/10 12:31:15 SrcIP X.X.X.X DstIP Y.Y.Y.Y End Time 2006/3/10 12:31:18 SrcMask /24 DstMask Protocol 6 SrcPort 23221 DstPort 20 TOS 80 SrcAS 1000 DstAS 2000 Flags 10 SrcIF Fa 1/0 DstIF Fa 0/0 Packets 1200 KBytes 6400

フローから仮想センサを抽出 Flow Attributes virtual sensors candidates Flow-tools Virtual Sensor Detection Algorithm Flow Attributes virtual sensors Netflow Database candidates Anomaly Packets Collector Results Output Netflow Router

ヒューリスティックなアルゴリズム Virtual Sensor Candidates Virtual Sensors 状態遷移の詳細な説明は割愛 Virtual Sensor Candidates Virtual Sensors Senders List (cache) Not seen or Not communicating 3 2 1 6 4 7 5 8

(Target of flow-observation) 実証実験 Wide area network Anomaly packets A worm infected host Scanning packets Intermediate Router (Target of flow-observation) An malicious host Autonomous System

実センサと仮想センサ Port 135/tcp

２．１ まとめ 仮想センサ（Virtual Dark IP）はフロー情報から仮想センサを抽出する提案 ２．１　まとめ 仮想センサ（Virtual Dark IP）はフロー情報から仮想センサを抽出する提案 物理的な実センサの代りに使える 仮想センサは、多数のセンサを実現することができる

２．２ 仮想ハニーポット Passive: 実センサ、仮想センサ X ? Active: Honeypots ２．２　仮想ハニーポット Passive:　実センサ、仮想センサ Stealth observation  to detect indiscriminative attacks Network telescopes (CAIDA, 2004) Active: Honeypots Honeypots: definitions and value of honeypots (2002) X ? Purpose Detect anomaly packet  DDoS, scanning… logging server Purpose Inspect detail of attacks - targeted vulnerability - malware/worm species honeypot

仮想ハニーポット（DarkPots） Vacancy Checker Forwarder Analyzer Vacancy checker Gateway Router (ACLs deployed) Enterprise / Campus Network The Internet Vacancy checker Forwarder Analyzers emulated response list of unused-IPs DarkPots System mirroring

処理の手順： DarkPots × × #4 forwarding to analyzer # 5 responding #3 filter with unused-IP address list Forwarder #2 mirroring blocked by firewall destination is inactive #1 attacks × × Gateway The Internet Enterprise / Campus Network

３種類の Analyzer A: Passive Sensor receive only for logging B: Reflector syn A: Passive Sensor receive only for logging B: Reflector respond to SYN flagged packet but other packets will not be sent. creates TCP half connection C: Honeypot Installed Npenthes software as one of the case-study of honeypots. Passive Sensor Reflector Honeypot honeypot service iptables syn/ack reflector logging honeypot response syn/ack response no response syn syn

Unused-IP address allocation Assign unused-IP address to each analyzer. Random selection without duplication. 2560 IPs assigned for each analyzers. passive reflector honeypot A: Passive Sensors B: Reflector C: Honeypots campus network : A.B.C.D/16 x-axis :3rd octets of IPv4 y-axis :4th octets of IPv4

3つのAnalyserで観測されたIPアドレス The number of source IP address (unique hosts) on passive sensors is slightly larger than others. passive reflector honeypot ほぼ同数

C.D.F analysis on # of received packets per attacker 60% of attackers sent less than 3 packets in passive mode (A) 90% of attackers sent out more than 4–8 packets in the active (B) and interactive modes (C). Passive Reflector HoneyPot

TCPフラグの分析 BにおけるFIN/PSH/ACKが特徴的 passive reflector honeypot too many duplicated packets

Mode Cにおける観測 top 7 heavy-hitters ある時間帯に活動、多くの国に分布している

The second experiment: ランダムアドレスと連続アドレスの比較 Two honeypot analyzers in parallel random address block continuous address block Assign 2,560 IP addresses each Purpose : inspecting the effect of allocation patterns random continuous x-axis :4th octets of IPv4 y-axis :3rd octets of IPv4

連続アドレスは攻撃されやすい 分散アドレスは脅威の観測に適している Continuous Random The upper plot shows the number of attacks on each of malware species, and the lower table, represent the total number of attacks with unique malware hashes and species. Both upper and lower figures use the same source from Nepenthes logs. We notice that the count of attacks in continuous allocation, is larger than that of random allocation. In contrast the number of species on random allocation, is larger than than of the continuous allocation. We expect this is due to the scanning pattern of botnets. Because, other study reported that some botnets implement a scan algorithm which targets neighbor subnets on a priority basis. Therefore the analyzer with continuous address space, should subject to the target of the same botnets. # 亜種: subspecies マルウェアの名前はAvastによる attack count Continuous Random

２．２ まとめ 稼働しているネットワークに影響が少ない 未使用のIPアドレスを活用して測定に用いる 大規模なネットワークに適用可能 ２．２　まとめ 稼働しているネットワークに影響が少ない ミラーポートを利用してデータを収集 未使用のIPアドレスを活用して測定に用いる パケット収集とファイアウオール情報の照合 大規模なネットワークに適用可能 数種類の分析手法を同時に走行可能 既存手法と新手法との比較が容易 観測対象とするＩＰアドレスを自由に選択 Akihiro Shimoda, BEST student paper award, SAINT 2010.