Worm Detection Using Data Mining

Transcript

1 Worm Detection Using Data Mining Davide Chiarella Consiglio Nazionale delle Ricerche Istituto di Elettronica e Ingegneria dell Informazione e delle Telecomunicazioni (IEIIT)

2 Sommario Tassonomia dei worm Tecniche di rilevazione di worm Il nostro scenario LMA Analisi dei Dati Analisi tramite base-line Analisi del flusso globale delle Analisi del flusso delle del singolo host Analisi del campo mittente Analisi del flusso delle rejected Risultati ottenuti

3 Tassonomia Worm Worm diretti non hanno bisogno di un mezzo per propagarsi sfruttano bachi del S.O. alta virulenza (affidamento solo sul lato macchina) Worm indiretti utilizzano l inganno per diffondersi ( , sistemi P2P) worm più sociali virulenza più bassa motore SMTP proprio utilizzo mailserver esistenti

4 Tecniche di rilevazione di Worm 1 Signature-based: classici antivirus, firma PRO molto accurata no falsi positivi bisogno di aggiornamento creazione firma non immediata e onerosa poco adattativa CONTRO

5 Tecniche di rilevazione di Worm 2 Anomaly-based: IDS, cercano anomalie PRO nessun bisogno di aggiornamento nessun periodo morto alta capacità adattativa CONTRO presenza di falsi positivi bisogno di taratura del sistema

6 Scenario 1 10 LAN connesse con un router ad Internet 5 mailserver 1 A/V Server tutti IP pubblici IP host pochi PC condivisi

7 Scenario 2 Approccio altamente sperimentale Attenzione focalizzata su uno dei mailserver Postfix traffico mensile 10k Log di 500 giorni di attività Log poco leggibili LMA

8 LMA 1 LMA programma open source Sourceforge PERL analizza i log e crea una versione leggibile dall uomo

9 LMA 2 Timestamp Client IP client From To Status Timestamp Client IP client From To Status Indica il momento in cui è stata spedita l formato Unix o Julian Nome dell host che ha mandato l IP dell host che ha mandato l Indirizzo del mittente Indirizzo del destinatario Server response (450, 550)

10 Analisi 1 Eseguita su 500 giorni di attività: Gennaio 2004 ad Aprile 2005 Le tipologie d analisi sono nate con lo svilupparsi della ricerca Due grandi insiemi: flusso del traffico globale della rete flusso del traffico del singolo host

11 Analisi 2 Su entrambe le tipologie abbiamo svolto analisi con base-line analisi del campo mittente dell analisi limitata al solo traffico di rifiutate dal mailserver

12 Analisi con base-line 1 Si cerca di creare un modello del comportamento degli utenti singoli o della rete Quante vengono spedite da un utente in un dato periodo di tempo? Quante gestisce di solito il mailserver in un dato periodo di tempo? Tutto ciò che supera una soglia stabilita viene catalogato come anomalia Base-line: µ + 3σ3

13 Analisi con base-line 2 µ + 3σ3 Attività del computer di Trudy Ogni t = 10 minuti controlliamo Anomalia mailing-list + fine orario di lavoro worm + panico e chiusura pc

14 Analisi del campo mittente 1 Guardiamo quanti indirizzi differenti vengono utilizzati per ogni IP Problema computer condivisi Tutto ciò che supera una soglia stabilita viene catalogato come anomalia In questo caso la base-line viene scelta adhoc

15 Analisi del campo mittente 2 Si esamina la storia del PC di Trudy Trudy utilizza 3 indirizzi e- mail sul suo PC: trudy@tanenbaum.nl trudy@appunti.it trudy@topolino.it Ad un certo punto, sono spedite dal suo IP con i seguenti campi from: mareaw@mellis.com sauron@palantir.me ilian@mynet.it... Anomalia Trudy è stata licenziata ed ora il pc è un computer condiviso Trudy è stata infettata da un worm che utilizza indirizzi creati ad arte

16 Analisi dell rifiutate Un worm, una volta infettata una macchina, ha molta fretta di diffondersi La fretta porta a compiere degli errori (campi mittente e destinatario), rilevabili dal mailserver Dalle precedenti analisi abbiamo notato un alto numero di rifiutate durante l attività di un worm

17 Risultati 1

18 Sviluppi futuri 1

19 Sviluppi futuri 2 Analisi eseguita off-line: baseline aggiornata dinamicamente Avvisi generati da un demone SMTPsniffer: il sistema diventa indipendente dal formato dei log; può controllare ogni tipo di server.

20 Grazie dell attenzione La ricerca è stata supportata dal programma PRAI-FESR Liguria