APAN NOC会合 APAN NOCにおける キャプチャの計画 2010年10月20日 下田晃弘, 後藤滋樹 早稲田大学.

Presentation on theme: "APAN NOC会合 APAN NOCにおける キャプチャの計画 2010年10月20日 下田晃弘, 後藤滋樹 早稲田大学."— Presentation transcript:

1 APAN NOC会合 APAN NOCにおける キャプチャの計画 2010年10月20日 下田晃弘, 後藤滋樹 早稲田大学

2 APAN 10G用キャプチャサーバ キャプチャサーバ本体 スペースと電源容量の検討
１０月２０日に後藤研に納品予定 キャプチャサーバ本体 メーカー: Qualest ( システム型番: Qualest RS3X35R16TBRP 3Uサーバ CPU : Xeon X Ghz 6core  x 1 HDD: Hitachi SATA2 2TB 7200rpm 32MB  x 16   RAID1+0 or RAID0構成 メモリ: DIMM 2GB DDR3 1333Mhz ECC  x 6   (計12GB) 電源: 650W スペースと電源容量の検討 皆様のアドバイスに感謝！ ※　Seagateに変更

3 ネットワークカード 10G NIC Chelsio 10Gb Ethernet NIC Card　Dual Port N320e-G2-CR 10Gb SFP+ 光モジュール SM10G-LR サイバネテック社の情報によると，キャプチャ用途として実績があるとのこと 光ケーブル 10GBase-LR 光ファイバー  5m  (両端LCコネクタ) ファイバは納品済み

4 測定ポイント ネットワークの構成ならびにリソースを考慮して APAN 側コアスイッチ MS7 (Alaxala)に 10GBase-LR で収容の予定 コアルータ T640, T1600, E600 や JGN2plus を繋ぐコアスイッチ 複数インターフェイスをミラーすることにより，多様なフローを観測できる

5 引用: http://www.jp.apan.net/noc/implementation/xpconf.shtml

6 第２部 キャプチャしたデータの分析（例） ２．１ 仮想センサ ２．２ 仮想ハニーポット

7 2.1 仮想センサ（Dark IP） Block all incoming packets 実センサ（ハードウェア） Firewall PC
Anomaly packets logging No response Attacker Firewall PC Sensor Box (Dark IP) Pass through all incomming packets

8 仮想センサ 物理的なマシンを設置しない Normal Servers No service offered Attackers
Normal Hosts Mutual Access No service offered One-way Access Attackers Unused IP space Netflow packets Virtual Sensors 物理的なマシンを設置しない

9 Netflow AS 1000 AS 2000 Host A Host B export Netflow v5 record Fa 1/0
ＩＰ Y.Y.Y.Y /24 port 20 ＩＰ X.X.X.X /24 port 23221 export Netflow v5 record Start Time 2006/3/10 12:31:15 SrcIP X.X.X.X DstIP Y.Y.Y.Y End Time 2006/3/10 12:31:18 SrcMask /24 DstMask Protocol 6 SrcPort 23221 DstPort 20 TOS 80 SrcAS 1000 DstAS 2000 Flags 10 SrcIF Fa 1/0 DstIF Fa 0/0 Packets 1200 KBytes 6400

10 フローから仮想センサを抽出 Flow Attributes virtual sensors candidates
Flow-tools Virtual Sensor Detection Algorithm Flow Attributes virtual sensors Netflow Database candidates Anomaly Packets Collector Results Output Netflow Router

11 ヒューリスティックなアルゴリズム Virtual Sensor Candidates Virtual Sensors
状態遷移の詳細な説明は割愛 Virtual Sensor Candidates Virtual Sensors Senders List (cache) Not seen or Not communicating 3 2 1 6 4 7 5 8

12 (Target of flow-observation)
実証実験 Wide area network Anomaly packets A worm infected host Scanning packets Intermediate Router (Target of flow-observation) An malicious host Autonomous System

13 実センサと仮想センサ Port 135/tcp

14 ２．１ まとめ 仮想センサ（Virtual Dark IP）はフロー情報から仮想センサを抽出する提案
２．１　まとめ 仮想センサ（Virtual Dark IP）はフロー情報から仮想センサを抽出する提案 物理的な実センサの代りに使える 仮想センサは、多数のセンサを実現することができる

15 ２．２ 仮想ハニーポット Passive: 実センサ、仮想センサ X ? Active: Honeypots
２．２　仮想ハニーポット Passive:　実センサ、仮想センサ Stealth observation  to detect indiscriminative attacks Network telescopes (CAIDA, 2004) Active: Honeypots Honeypots: definitions and value of honeypots (2002) X ? Purpose Detect anomaly packet  DDoS, scanning… logging server Purpose Inspect detail of attacks - targeted vulnerability - malware/worm species honeypot

16 仮想ハニーポット（DarkPots） Vacancy Checker Forwarder Analyzer Vacancy checker
Gateway Router (ACLs deployed) Enterprise / Campus Network The Internet Vacancy checker Forwarder Analyzers emulated response list of unused-IPs DarkPots System mirroring

17 処理の手順： DarkPots × × #4 forwarding to analyzer # 5 responding
#3 filter with unused-IP address list Forwarder #2 mirroring blocked by firewall destination is inactive #1 attacks × × Gateway The Internet Enterprise / Campus Network

18 ３種類の Analyzer A: Passive Sensor receive only for logging B: Reflector
syn A: Passive Sensor receive only for logging B: Reflector respond to SYN flagged packet but other packets will not be sent. creates TCP half connection C: Honeypot Installed Npenthes software as one of the case-study of honeypots. Passive Sensor Reflector Honeypot honeypot service iptables syn/ack reflector logging honeypot response syn/ack response no response syn syn

19 Unused-IP address allocation
Assign unused-IP address to each analyzer. Random selection without duplication. 2560 IPs assigned for each analyzers. passive reflector honeypot A: Passive Sensors B: Reflector C: Honeypots campus network : A.B.C.D/16 x-axis :3rd octets of IPv4 y-axis :4th octets of IPv4

20 3つのAnalyserで観測されたIPアドレス
The number of source IP address (unique hosts) on passive sensors is slightly larger than others. passive reflector honeypot ほぼ同数

21 C.D.F analysis on # of received packets per attacker
60% of attackers sent less than 3 packets in passive mode (A) 90% of attackers sent out more than 4–8 packets in the active (B) and interactive modes (C). Passive Reflector HoneyPot

22 TCPフラグの分析 BにおけるFIN/PSH/ACKが特徴的
passive reflector honeypot too many duplicated packets

23 Mode Cにおける観測 top 7 heavy-hitters
ある時間帯に活動、多くの国に分布している

24 The second experiment: ランダムアドレスと連続アドレスの比較
Two honeypot analyzers in parallel random address block continuous address block Assign 2,560 IP addresses each Purpose : inspecting the effect of allocation patterns random continuous x-axis :4th octets of IPv4 y-axis :3rd octets of IPv4

25 連続アドレスは攻撃されやすい 分散アドレスは脅威の観測に適している
Continuous Random The upper plot shows the number of attacks on each of malware species, and the lower table, represent the total number of attacks with unique malware hashes and species. Both upper and lower figures use the same source from Nepenthes logs. We notice that the count of attacks in continuous allocation, is larger than that of random allocation. In contrast the number of species on random allocation, is larger than than of the continuous allocation. We expect this is due to the scanning pattern of botnets. Because, other study reported that some botnets implement a scan algorithm which targets neighbor subnets on a priority basis. Therefore the analyzer with continuous address space, should subject to the target of the same botnets. # 亜種: subspecies マルウェアの名前はAvastによる attack count Continuous Random

26 ２．２ まとめ 稼働しているネットワークに影響が少ない 未使用のIPアドレスを活用して測定に用いる 大規模なネットワークに適用可能
２．２　まとめ 稼働しているネットワークに影響が少ない ミラーポートを利用してデータを収集 未使用のIPアドレスを活用して測定に用いる パケット収集とファイアウオール情報の照合 大規模なネットワークに適用可能 数種類の分析手法を同時に走行可能 既存手法と新手法との比較が容易 観測対象とするＩＰアドレスを自由に選択 Akihiro Shimoda, BEST student paper award, SAINT 2010.