Detecção de anomalias no protocolo DNS Trabalho de Graduação Rodrigo Diego Melo Amorim Orientador: Djamel Sadok Co-orientador: Eduardo Feitosa Agenda • • • • • • • • Motivação Objetivos Conceitos Básicos Detecção de anomalias Resultados Discussões Trabalhos Futuros Conclusões Motivação • Ameaças existentes na Internet • DNS: – Importância e dependência para a Internet – Efeitos das ameaças no seu tráfego – Fragilidade não percebida durante projeto Objetivos • Estudar anomalias mais comuns no protocolo DNS. • Implementar e analisar uma técnica de detecção de anomalias no protocolo DNS. • Propor melhorias. O protocolo DNS • • • • Serviço inerente à Internet Tradução de nomes em endereços IP Espaço de endereçamento hierárquico Resolução de nomes – Iterativa – Recursiva • Caching – TTL (Time-To-Live) O protocolo DNS Anomalias no protocolo DNS • Perturbação ou comportamento indevido no tráfego DNS • Podem ocorrer por: – Má-configuração de servidores – Má-utilização do protocolo – Ações maliciosas Anomalias no protocolo DNS • Typo Squatter – Uso de URL’s incorretas para fins maliciosos (phishing). • Uso indevido de endereço privado (RFC 1918) – Respostas contendo endereços IP não-roteáveis. • DNS Rebind • Darknets • Fast Flux Domains Anomalias no protocolo DNS: Fast Flux Domains • Domínios que mudam rapidamente seus endereços (TTL baixo). • Muito utilizado por worms na composição de botnets, também chamada de Fast Flux Service Network (FFSN). • Características semelhantes a serviços legítimos, como: – Round Robin DNS – CDN (Content Delivery Network) Anomalias no protocolo DNS: Fast Flux Domains Detecção de anomalias: Fast Flux Domains • Algoritmo sugerido por Holz [1] • Baseia-se nas características que distinguem FFSN de CDN e RRDNS: – Diversidade de endereços IP – Falta de controle físico sobre o flux-agent Detecção de anomalias: Fast Flux Domains • Dois parâmetros: – nA – número de endereços IP distintos retornados para consultas de um mesmo domínio. – nASN – número de ASN’s distintos dos endereços IP retornados para consultas de um mesmo domínio. • Métrica: equação de flux-score Detecção de anomalias: Implementação • Captura – Lê arquivos de captura de tráfego. – Obtêm apenas informações relevantes. • Base – Comunicação com a base • Análise – identifica padrão de anomalia Detecção de anomalias: Execução Resultados: Validação 300 250 200 150 100 numero de resposta 50 numero de AS christinazfunz.com. christiezfunz.com. christianzfunz.com. buyonlinepharma.com. 6l4a3p875.com. 7d19i14db.com. uswho.cn. urwoman.cn. sutry.cn. stthrow.cn. sswhose.cn. srrog.cn. sbbal.cn. 0 4import.me. • Corretude funcional do software. • Tráfego anômalo simulado em laboratório. • Domínios maliciosos extraídos do ATLAS da Arbor Network [2] flux-score limitante Resultados: Experimentação • Tráfego real capturado nos laboratórios do Grupo de Pesquisa em Redes e Telecomunicações (GPRT) do Centro de Informática (CIn). • Duas semanas. Resultados: Experimentação • Quantidade de respostas por faixa de TTL 1800-1900 1600-1700 1400-1500 Faixa de TTL 1200-1300 1000-1100 800-900 600-700 400-500 200-300 0-100 0 500 1,000 1,500 2,000 Quantidade de Pacotes de Resposta 2,500 3,000 Resultados: Experimentação • Falso positivos – Muitos domínios legítimos foram alertados como anômalos. – Maioria do domínio akamai.net, pertencente a um CDN Famoso, Akamai Technologies [3] Domínios Falso-Positivos Akamai.net. Akamaitech.net. Freenode.net. 18% 4% 7% 71% outros • nA muito variável tem em domínios legítimos. • Consultas acumuladas causam aumento do flux-score. • nASN se mostrou mais eficaz na indicação de FFSN. a957.g.akamai.net. a1976.b.akamai.net. a1850.g.akamai.net. a1829.g.akamai.net. a1811.g.akamai.net. a1170.g.akamai.net. a1722.g.akamai.net. a1475.g.akamai.net. a997.mm1.akamai.net. a996.mm1.akamai.net. a995.mm1.akamai.net. a537.mm1.akamai.net. a1725.l.akamai.net. a1223.cp.akamai.net. Discussões 700 600 500 400 300 200 100 0 fluxscore qtde consultas Trabalhos Futuros • Alterar e testar o algoritmo de detecção de FFSN. • Agregar à ferramenta a detecção de outras anomalias. • Adaptar a ferramenta para a detecção de anomalias em tempo real (online). Conclusões • O protocolo DNS se tornou um importante alerta de ameaças a internet • O uso de Fast Flux Domains é crescente e seu estudo ainda é escasso. • Muitas anomalias ainda faltam ser estudadas e combatidas. Perguntas e Respostas Referências • [1] T. Holz, C. Gorecki, K. Rieck, and F. C. Freiling. Measuring and Detecting Fast-Flux Service Networks. In Proceedings of the 15th Annual Network & Distributed System Security Symposium (NDSS), 2008. • [2] ATLAS Summary Report: Global Fast Flux, http://atlas.arbor.net/summary/fastflux • [3] Akamai Technologies, http://www.akamai.com/.