Xcon2003_zhenghui

Size: px

Start display at page:

Download "Xcon2003_zhenghui"

斋惠
6 years ago
Views:

1 大规模网络中蠕虫主动防治技术研究 -- 利用 DNS 服务抑制蠕虫传播作者 : 郑辉日期 :

2 大规模网络中蠕虫主动防治技术研究 -- 利用 DNS 服务抑制蠕虫传播郑辉教育科研网应急响应组

3 内容为什么选择 DNS 服务利用 DNS 服务的方法系统整体框架设计基于配置视图方式的系统实施方案基于端口转发方式的系统实施方案性能分析实施效果

4 为什么选择 DNS 服务大部分 Internet 应用都会用到 DNS 服务 ; 加快染毒用户响应速度 ; 可以引导用户到指定机器, 相较于其他方式增强了交互性 ; 减少用户和网管人员的正面冲突 ; 减少网管人员工作量 ; 疏导方式对网络流量的影响更小 ; 实施时间短, 见效快 ;

5 利用 DNS 服务的方法配置视图端口转发

6 配置视图工作原理 DNS 服务程序 (BIND9) 支持视图 (view), 对不同的视图, 服务程序产生不同的响应 ; 把已感染蠕虫机器的 IP 地址列表放入一个视图中, 对这个视图的响应结果设定为指定结果 ; 优缺点仅修改 DNS 配置文件, 无需附加程序 ; 操作简单,DNS 服务管理人员可以自行完成 ; 不同 DNS 服务程序的配置方式不同, 很多版本的 DNS 服务程序不支持视图 ;

7 配置视图方式流程示意图正常计算机 DNS 请求正常计算机 DNS 响应染毒机器 DNS 请求检查视图返回指定报文染毒计算机

8 端口转发工作原理端口转发程序代替原有 DNS 服务监听端口 ; 收到 DNS 请求时, 在指定为文件中查找 DNS 请求者 IP 地址 ; 如果在文件中找到 DNS 请求者 IP 地址, 则返回伪造的 DNS 响应报文 ; 否则, 将请求报文转发给在其他端口 ( 或主机 ) 运行的正常 DNS 服务程序并将 DNS 服务程序返回的响应报文转回给 DNS 请求者优缺点对原有系统改动小, 可适用于各种不同的 DNS 服务程序 ; 当黑名单为空时, 同原有 DNS 系统工作效果相同 ; 需单独编程, 需要处理和考虑各种复杂情况 ;

9 端口转发方式流程示意图正常计算机 DNS 请求转回正常计算机 DNS 响应转发正常计算机 DNS 请求正常计算机 DNS 响应染毒机器 DNS 请求返回伪造报文检查黑名单染毒计算机

10 系统整体框架设计检测服务器 (IDS): 定期生成染毒计算机 IP 地址列表 ; 修改过的 DNS 服务器 : 获取染毒计算机 IP 地址列表过滤染毒计算机 IP 地址产生的 DNS 请求 ; 将染毒计算机导向警示服务器 ; 警示服务器 (Warning Information Server): 提供染毒告警信息 ; 提供补丁程序杀毒工具下载 ; 收集用户相关信息 ;

11 基于配置视图方式的系统结构示意图

12 基于配置视图方式的系统实施方案检测服务器配置在边界路由器上, 根据蠕虫特征纪录染毒计算机 IP 地址 ; DNS 服务器从检测服务器获取染毒计算机 IP 地址列表 ; 根据染毒计算机 IP 地址列表配置视图 ; 将染毒计算机导向警示服务器 ; 警示服务器建立针对 HTTP 协议的 Web 警示页面 ; 建立针对 Telnet 协议的警示信息 ; 建立针对 SMTP 协议的警示信息 ; 建立针对 POP3 协议的警示邮件 ;

13 检测服务器 (IDS) 在边界路由器上配置镜像端口 : conf monitor session 1 source 9/1 destination 9/3 设置检测程序及检测规则 : alert icmp $HOME_NET any -> $EXTERNAL_NET any (msg:"nachi"; content:" aaaaaa ";dsize:64;itype:8;offset:1;depth:6; reference:arachnids,154; sid:483; classtype:misc-activity; rev:2;) 生成染毒计算机 IP 地址列表 ;

14 BIND 9 视图配置方案 (con.) 建立 ACL 文件包含染毒计算机 IP 地址列表 ; /var/named/ip 包含内容如下 acl "fakeresponse" { ; # the ip of one infected machine. }; 建立区域解析文件 /var/named/fake.cn 包含内容如下 $TTL IN SOA ccert.edu.cn. hostmaster.ccert.edu.cn ( ) IN NS *. IN A #the ip of WIS

15 BIND 9 视图配置方案 (#) 修改 named.conf 引入控制地址列表 : include "ip"; 建立如下视图 : view "internal" { match-clients { "fakeresponse";}; zone "." in { type master; file "fake.cn"; }; }; 定时更新 ACL 文件达到动态处理效果

16 警示服务器 (WIS) 制定染毒告警信息 : 查杀软件下载 ; 补丁软件下载 ; 用户信息收集 ; 设计常规 Internet 服务 HTTP; Telnet; SMTP; POP3;

17 警示服务器上针对 Telnet 协议的警示方案 (con.) 编写 telnet 协议服务程序 #!/bin/sh ####################################################### #Fake Telnetd for warning infected machines! # # # #By Hui ZHENG. <zhenghui_at_cernet.edu.cn> # ####################################################### echo "May be your machine have been infected by Nachi worm!" echo "Please download pache software from this site!" echo " 放在某个目录下, 如 /root/dns/port23.sh

18 警示服务器上针对 Telnet 协议的警示方案 (con.) 修改 telnetd 配置信息 root]# cd /etc/xinetd.d xinetd.d]# cp telnet telnet.bak xinetd.d]# vim telnet 将原有配置 : service telnet { } disable = yes flags socket_type wait user server = REUSE = no = root = stream = /usr/sbin/in.telnetd log_on_failure += USERID 修改为 : service telnet { } disable = no flags socket_type wait user server = REUSE = no = root = stream = /root/dns/port23.sh log_on_failure += USERID

19 警示服务器上针对 Telnet 协议的警示方案 (#) 重新启动 xinetd 服务 /etc/init.d/xinetd restart

20 警示服务器上针对 POP3 协议的警示方案 (con.) 编写 POP3 协议服务程序 #!/usr/bin/expect ####################################################### #Fake POP3d for warning infected machines! # # # #By Hui ZHENG. <zhenghui_at_cernet.edu.cn> # ####################################################### send "+OK Qpopper (version 4.0.5) at ccert.edu.cn starting. < @ccert.edu.cn>\r\n" expect { "USER" {send "+OK Password required for zhenghui.\r\n";exp_continue} "PASS" {send "+OK zhenghui has 1 visible message in 575 octets.\r\n";exp_continue} "STAT" {send "+OK 1 575\r\n";exp_continue} "UIDL" {send -- "-ERR \r\n";exp_continue} "TOP" {send -- "-ERR \r\n";exp_continue} "LIST" {send "+OK 1 visible messages 575 octets\r\n";send "1 372\r\n";send ".\r\n";exp_continue} "RETR" {send "+OK 575 octets\r\n";send "From: zhenghui@ccert.edu.cn\r\n"; send "Subject: warning\r\n\r\n"; send "May be your computer was infected by Nachi worm!\r\n"; send "Please download patch software from:\r\n"; send " send ".\r\n";exp_continue} "DELE" {send "+OK \r\n";exp_continue} "QUIT" {send "+OK Pop server at ccert.edu.cn signing off.\r\n";close;exp_continue} } 放在某个目录下, 如 /root/dns/port110.sh

21 警示服务器上针对 POP3 协议的警示方案 (con.) 修改 POP3 配置信息 root]# cd /etc/xinetd.d xinetd.d]# cp ipop3 ipop3.bak xinetd.d]# vim ipop3 将原有配置 : service pop3 { } disable = yes flags socket_type wait user server = REUSE = no = root = stream = /usr/sbin/ipop3d log_on_failure += HOST 修改为 : service pop3 { } disable = no flags socket_type wait user server = REUSE = no = root = stream = /root/dns/port110.sh log_on_failure += HOST

22 警示服务器上针对 POP3 协议的警示方案 (#) 重新启动 xinetd 服务 /etc/init.d/xinetd restart

23 基于端口转发方式的系统结构示意图

24 基于端口转发方式的系统实施方案检测服务器配置在边界路由器上, 根据蠕虫特征纪录染毒计算机 IP 地址 ; 端口转发服务器获取染毒计算机 IP 地址列表 ; 过滤染毒计算机 IP 地址产生的 DNS 请求 ; 将正常 DNS 请求转向 DNS 服务器 ; 向染毒计算机返回警示服务器 IP 地址 ; DNS 服务器响应正常 DNS 请求 ; 警示服务器建立针对 HTTP 协议的 Web 警示页面 ; 建立针对 Telnet 协议的警示信息 ; 建立针对 SMTP 协议的警示信息 ; 建立针对 POP3 协议的警示邮件 ;

25 配置端口转发服务器 (con.) 确定原 DNS 服务程序的新位置 ; 在本机另一端口 ; 在另一 IP 地址 ; 确定检测服务器 IP 地址 ; 获取染毒计算机 IP 地址列表 ; 确定警示服务器 IP 地址 ; 作为伪造的 DNS 请求响应报文返回内容 ; 在原 DNS 服务程序端口运行端口转发服务程序 ;

26 配置端口转发服务器 (#) Perl 语言实现脚本 : #!/usr/bin/perl -w ############################################ #DNS isolation concept samples. # # # #Program Name: Trans.pl # # # #Funciton Desription: # #Listening on a port(53), as a DNS server, # #response normal DNS query. If client in # #black list, a fake response packet given. # # # #By zhenghui_at_ccert.edu.cn # # # ############################################

27 use strict; use IO::Socket; my $dns = " "; my $port = shift 53; my $proto = getprotobyname("udp"); my $iaddr = inet_aton($dns); #wait for client request!. socket(server,pf_inet,sock_dgram,$proto) or die "socket: $!"; setsockopt(server,sol_socket,so_reuseaddr,1) or die "setsock: $!"; my $paddr = sockaddr_in($port,inaddr_any); bind(server,$paddr) or die "bind: $!"; #to DNS server. $paddr = sockaddr_in($port,$iaddr); socket(dns,pf_inet,sock_dgram,$proto) or die "error socket to dns: $!"; my $client_addr; my $clientbuffer; my $dnsbuffer; my $fakeip; my $i; while ( $client_addr = recv(server,$clientbuffer,4096,0)) { $i++; my ($client_port,$client_ip) = sockaddr_in($client_addr); my $client_ipnum = inet_ntoa($client_ip); my $client_host = gethostbyaddr($client_ip,af_inet); if (&InFile($client_ipnum)) = unpack("h4 x11 H*",$clientbuffer); #same request! $fakeip=" e c00c ca703909c e7 3c010c03e ca703906"; $dnsbuffer = pack("h4h*",$unpackdata[0],$fakeip); send(server,$dnsbuffer,0,$client_addr); next; } print "got a connection from : $client_host","[$client_ipnum]\n"; send(dns,$clientbuffer,0,$paddr) warn " send to dns error: $! \n"; recv(dns,$dnsbuffer,4096,0); send(server,$dnsbuffer,0,$client_addr) warn " send to client error: $! \n"; } sub InFile { my $ip = shift; open(in,"blacklist.txt"); while(<in>) { if (/^$ip$/) { close(in); return 1 ; } } } close(in); return 0;

28 基于配置视图方式的系统性能分析同原 DNS 系统相同 ;

29 基于端口转发方式的系统性能分析延迟取决于端口转发服务器同原 DNS 服务器之间网络通信时间 ; 如果端口转发程序同原 DNS 服务器在同一台机器上, 则端口转发程序造成的时延可以忽略不计 ;

30 清华校园网实施效果 (1) 总体效果 : 年 1 0 月 1 日年 1 0 月 3 日年 1 0 月 5 日年 1 0 月 7 日年 1 0 月 9 日年 1 0 月 1 1 日年 1 0 月 1 3 日年 1 0 月 1 5 日年 1 0 月 1 7 日年 1 0 月 1 9 日年 1 0 月 2 1 日年 1 0 月 2 3 日年 1 0 月 2 5 日年 1 0 月 2 7 日年 1 0 月 2 9 日年 1 0 月 3 1 日年 1 1 月 2 日年 1 1 月 4 日年 1 1 月 6 日年 1 1 月 8 日年 1 1 月 1 0 日年 1 1 月 1 2 日年 1 1 月 1 4 日年 1 1 月 1 6 日年 1 1 月 1 8 日年 1 1 月 2 0 日年 1 1 月 2 2 日年 1 1 月 2 4 日年 1 1 月 2 6 日年 1 1 月 2 8 日年 1 1 月 3 0 日年 1 2 月 2 日年 1 2 月 4 日年 1 2 月 6 日 DNS 方案开始点

31 清华校园网实施效果 (2) DNS 方案实施力度衡量公式 : 令集合 I(k) 表示每天检测到的染毒计算机 IP 地址 ; 令集合 B(k) 表示每天访问警示服务器 (WIS) 的计算机 IP 地址 ; 则 DNS 方案的实施力度可由 S=B(k)/I(K) 来衡量影响实施力度的因素 : 网络中有多台 DNS 服务器, 只在其中某几台实施 ; 实施时间不连续 ; 其他控制措施的影响, 例如 ACL 使 DNS 无法正常获得检测地址列表 ;

32 清华校园网实施效果 (3) DNS 方案实施力度 :( 较低 ) DNS 方案实施力度年 11 月 27 日 2003 年 11 月 28 日 2003 年 11 月 29 日 2003 年 11 月 30 日 2003 年 12 月 1 日 2003 年 12 月 2 日 2003 年 12 月 3 日 2003 年 12 月 4 日 2003 年 12 月 5 日 2003 年 12 月 6 日 2003 年 12 月 7 日

33 清华校园网实施效果 (4) DNS 方案效果衡量公式 : 被导向到 WIS 的计算机如果在将来又出现在每天检测到的染毒计算机 IP 地址列表中, 则表明 DNS 方案对此计算机无效, 无效计算机数目与被导向到 WIS 的计算机数目的比率可以用来衡量 DNS 方案的有效性 E(k) = 1 B(k) N Υ t= k+ 1 B(k) I(t)

34 清华校园网实施效果 (5) DNS 方案效果 :3~4 天,80% 被清除月 27 日 11 月 28 日 11 月 29 日

35 参考文献原始数据 : 段海新, 清华校园网 Nachi 蠕虫监测系统 ; 郑先伟, 清华校园网应急响应网站访问日志 ; 孙彬, DNS 配置方法,CCERT 内部资料雷迎春, 龚奕利译 Paul Albitz & Cricket Liu 著 DNS 与 BIND 中国电力出版社, 2002 RFC1939(POP3), tml

36 Thanks!

Pchome

Pchome H Linux Linux Red Hat Linux Fedora 1 DNS Mail WWW Domain tslg.idv.tw IP 192.168.1.254 tslg.idv.tw PChome Seednet ISP http://rs.twnic.net.tw/index2.html Seednet http://rs.seed.net.tw/ Pchome http://myname.pchome.com.tw/