狠狠撸

悪性Botnet包囲網におけるP2P通信検知の試み
山之上卓, 福山大学
IPSJ-IOT-42 2018, @鹿屋体育大学, 6/28, 2018.

目次
? 1. はじめに
? 2. 悪性 Botnet 包囲網
? 3. 実験
? 4. 関連研究
? 5. おわりに
#ipsjiot

1. はじめに (1/6)
? ネットワーク管理者やセキュリティ担当者
…悪性Botnetに頭を抱えている.
#ipsjiot

? 悪性Botnet
– 迷惑メール
– DDoS攻撃
– Click Fraud
– 利用者の銀行口座やクレジットカード番号の盗み
– 粘り強い
? Botnetの中のいくつかのBotを見つけて対処して
も, Botnetは悪事を続ける
– …
– 日々進化
1. はじめに (2/6)
#ipsjiot

? 2000年代中頃 …Agobot/Phatbot [6]など
– Peer To Peer (P2P)ネットワーク
? 2000年代後半…conficker[2]など
– ドメイン生成アルゴリズム(Domain Generation Algorithm, DGA)
–
1. はじめに (3/6)
#ipsjiot

? Gameover ZeuS
– 警察組織の国際的な連携により, 2014年に壊滅
– FBIの公表[4]によると, 損失は1億ドル
– 「２番目の中央集中型のZeusはP2P Zeus または Gameover と
して知られるpeer-to-peer (P2P)の変種に変異した. P2P Zeus は
中央集中型 command and control (C2) サーバには依存しないた
め, 従来型のZeus に対する対応に免疫がある」[1]
1. はじめに (4/6)
#ipsjiot

? P2P機能を持ったbotnetは検知しにくく, 壊滅させるのが困難
– Gameover Zeus が壊滅までにこのような多額の損失を与え, 国際的
な連携のような大きな努力を必要としたのはGameover ZeusがP2P
機能を獲得したことも原因の一つ
? Gameover ZeuSは壊滅したが, 同様のP2P botnet が組織内で
活動する可能性はあり.
? 組織の出入り口に設置された1台の侵入検知システム
(Intrusion Detection System, IDS) でP2P通信を使う組織内の
ボットの検知は困難.
1. はじめに (5/6)
#ipsjiot

? 悪性Botnetの技術に対処したい
– 我々が従来から開発を続けていた良性Bot[13][14][15][16][17]を使って,
悪性Botnet包囲網(良性Botnet) を開発中
– 良性Botnetは良性Botのグループ
? LANのNatの内側に設置するAgent Bot
? Agent Botによって選択収集されたデータを解析するAnalyzing Bot
– 良性Botnetは, 良性Botに協調動作をさせることにより, P2P通信を検
出する能力を持つ.
1. はじめに (6/6)
#ipsjiot

2. 悪性Botnet包囲網
2.1 悪性botnetの概要(1/1)
#ipsjiot

2.2悪性bonet包囲網のbot(1/2)
#ipsjiot

他に使えるコマンド
set pageName <page-name>
include <url>
Wiki ページの例
2.2悪性bonet包囲網のbot(2/2)
#ipsjiot

2.3 Agent Bot (1/4)
#ipsjiot

2.3 Agent Bot (2/4)
? Buffers
– Packet History
? Sub buffers for every (Source IP, Destination IP)
? 時間と Payload のSha1 hash も一緒に格納
– MAC-list
– Domain-list
– Dhcp-list
– Arp-list
#ipsjiot

? 良性botの言語プロセッサ
– CSV parser
– 表操作/表計算関数
? Analyzing Bot
– 良性botの言語プロセッサの機能
– R (IOTS2016 で発表)
2.4 Analyzing Bot (1/1)
#ipsjiot

3. 実験
3.1 偽 Gameover ZeuS(1/2)
? Gameover
ZeuS
#ipsjiot

3. 実験
3.1 偽 Gameover ZeuS(2/2)
? Pseudo
Gameover
ZeuS
#ipsjiot
Gameover ZeuSのソースコード
は公開されているが、
そのまま使うと危険

3. 実験
3.2 実験ネットワーク(1/1)
#ipsjiot

3. 実験
3.3 Agent Botsのscriptと実行結果(1/3)
? Class page
#ipsjiot

3. 実験
? Object page
#ipsjiot

3. 実験
? 出力の一部
– cmd=get repeating, date="2018/04/14 17:03:19 +0900", no=3299,
if=1, smac="bc:5c:4c:5d:1c:cd", dmac="b8:27:eb:cb:d6:38",
prtcl=udp, sip="192.168.13.160", dip="192.168.2.100", sp=34724,
dp=33331,
sha1payload="9dac7a7beb944a7193847a3d0fbcc370d13a5838",
payloadLength=46, payload=broadcast id=3394824 ttl=3
cmd="message test".....
#ipsjiot

3. 実験
3.4 Analyzing Botのscriptと実行結果(5/8)
#ipsjiot

3. 実験
3.4 Analyzing 叠辞迟の蝉肠谤颈辫迟と実行结果(1/8)

3. 実験

? Analyzing Bot のObject page の一部…LAN-1,LAN-2間P2P通信
–lan1= 0 ,date= 2018/04/14 17:06:50 +0900 ,
smac= b8:27:eb:cb:d6:38 ,dmac= bc:5c:4c:5d:1c:cd ,
sip= 192.168.2.100 ,dip= 192.168.13.160 ,
lan2= 1 ,date= 2018/04/14 17:06:51 +0900 ,
smac= bc:5c:4c:5d:1a:c9 ,dmac= b8:27:eb:2f:33:cd ,
sip= 192.168.13.210 ,dip= 192.168.2.102 ,
sha1payload=
f14db4dae7a139cde5185267b8d353498850f22b ,
payload= broadcast id
3. 実験

3. 実験

? Analyzing Bot のObject page の一部… LAN-2,LAN-5 間P2P
–lan1= 1 ,date= 2018/04/14 17:03:18 +0900 ,
smac= b8:27:eb:2f:33:cd ,dmac= bc:5c:4c:5d:1a:c9 ,
sip= 192.168.2.102 ,dip= 192.168.13.150 ,
lan2= 4 ,date= 2018/04/14 17:03:17 +0900 ,
smac= bc:5c:4c:5d:1a:bf ,dmac= b8:27:eb:3a:6b:fa ,
sip= 192.168.13.160 ,dip= 192.168.2.102 ,
sha1payload=
9dac7a7beb944a7193847a3d0fbcc370d13a5838 ,
payload= broadcast id
3. 実験

? 分散IDSの agent の集合
? agents + transceivers + monitors
4. 関連研究
4.1 Autonomous Agents for Intrusion Detection (AAFID)
#ipsjiot

? AAIFの agent と我々の agent bot は, どちらともコマンドによって制御され, 通信
データを収集
? Agent AAFIDのagentはclient hostに install されている
– 我々の agent botはLANとそのルータ又はNAT ルータの間に設置
? AAFIDの monitor と transceiver , 我々の Analyzing Bot… agentなどからデータを
集めて, それを解析する部分で類似
? AAFIDの monitorはwiki ページの script で制御されない
– 我々の agent botやanalyzing botはwikiページのscriptで制御
? Agent間の通信方式については, AAFIDについては定義されていない
– 我々のbotnetはwiki APIを使っている.
4. 関連研究
4.1 Autonomous Agents for Intrusion Detection (AAFID)
#ipsjiot

? Beneficial Botnet のAgent Bot はある意味、Man in the Middle 攻撃を
行う
–慎重な取り扱いを必要とする。
4. 関連研究
4.2 Man in the Middle Attack
#ipsjiot

? Beneficial botnetと同様に, 定期的にエージェントプログラムが Web
サーバにアクセスし, そこに書かれた指示をエージェントが実行し, 結
果を Web サーバ側に戻す
? エージェントプログラムとWebサーバはNATを超えて相互に通信でき
る.
–我々の Agent bot と同じ
? キュリティ強化を目的としたものではない.
? 特化したWebサーバを必要とする
–beneficial botnetはopenなPukiWiki.
4. 関連研究
4.2 KASEYA and UNIFAS
#ipsjiot

? ネットワークのflow 情報を使い、類似したホスト間通信を、
traffic の相関を取って見つけ、悪性Botのものと思われる通
信を弁別
? 類似したホスト間通信を見つけてP2P通信を発見しよう、
という手法において、beneficial botnetと類似。
– ネットワークのflow 情報を使うところが、Agent bot を使う
beneficial botnet と異なる
4. 関連研究
BotMiner

? Thangapandiyan and Anand
? BotMinerと類似。クラウド向き。
? BotMiner が独自のNetwork Flow情報を入手するライブラ
リを利用しているのに対し、Ciscoが提唱する NetFlow を
利用
– BotMinerの場合と同様に、Beneficial botnet はAgent bot を使
うところが異なる。…
4. 関連研究
P2P detection using NetFlow protocol

? 中村豊他
? 複数のシステムを連携させて、異常トラヒックのみを保存
– 分散システムという意味で、beneficial botnet と類似
? 異常検知は一台の Monitor システムで発見
– Beneficial botnet は複数の bot を連携させてP2P通信を発見
4. 関連研究
侵入検知とモニタリングシステムを
組み合わせた異常トラヒックの自動保存

? 悪性botnet包囲網(beneficial botnet)(試作中)
? マルウェアのP2P通信を検出できる可能性
? script を格納するための wiki ページとそのscriptのinterpreterで構成
? 悪性botnetの通信をまねる偽Gameover ZeuSも作成
? 現時点でAgent botのLAN-WAN間通信が非常に遅い
? セキュリティの強化とその検証も必要
? デバッグの方法や環境についても改善する必要
5. おわりに
#ipsjiot

謝辞
? JSPS科研費 16K00197
? PukiWiki, Java, Pcap4J, Eclipse, Eclipse Egit, M2Eclipse,
Apache, Apache http client, twitter4j, Raspberry Pi,
Raspbian
? 実験の実施を手伝ってくれた学生諸君
? に感謝します.

狠狠撸

悪性Botnet包囲網におけるP2P通信検知の試み@ipsj Iot 42, 6/28, 2018

Recommended

More Related Content

Similar to 悪性Botnet包囲網におけるP2P通信検知の試み@ipsj Iot 42, 6/28, 2018 (20)

More from Takashi Yamanoue (20)

Recently uploaded (6)

悪性Botnet包囲網におけるP2P通信検知の試み@ipsj Iot 42, 6/28, 2018