Katsaus analyysityökaluihin

Transkriptio

1 Katsaus analyysityökaluihin Abuse-seminaari 2009 Kauto Huopio Vanhempi tietoturva-asiantuntija CERT-FI Sisältö Taustaselvitys WHOIS Cymru WHOIS (Passive DNS) Case haitalliset www-sivut sivun sisällön analyysi javascript/pdf/flash/exe sandboxing Tietolähteitä

2 WHOIS Yleinen kyselyprotokolla (RFC 3912) Internet-verkon perustietokannoille: verkkotunnukset (TLD ja CCTLD-verkkotunnusrekisterit) verkko-osoitteet, verkko-osoitelohkot ja AS-numerot (RIPE, ARIN, APNIC, AFRINIC jne) Toistaiseksi kaikki rekisteröintitiedot saatavilla ICANN ja RIR:t selvittävät parasta aikaa tulisiko tietojen saatavuutta rajoittaa Erityisesti RIPE-kyselyissä kannattaa muistaa B flag, antaa muutosten tekijöiden tiedot Cymru WHOIS Team Cymrun tarjoama WHOIS-rajapinta IP->AS-numerokyselyille whois.cymru.com antaa reaaliaikaisen tiedon IP-osoitteen origin-as:sta mahdollisuus bulk-kyselyihin peer-whois.cymru.com antaa reaaliaikaisen tiedon IP-osoitteen upstream-as:sta lisäohjeita kyselyllä help Saatavissa myös DNS ja HTTP/HTTPS kyselyillä Lisätietoja:

3 Cymru WHOIS: esimerkkejä dig IN A whois h whois.cymru.com AS IP AS Name ASO Autonomous System whois h peer-whois.cymru.com PEER_AS IP AS Name ESTPAK Elion Enterprises Ltd. Cymru WHOIS: bulk-moodi Tarvitaan GNU Netcat muilla netcat-versioilla voi tulla I/Oongelmia Kyselytiedosto: Käyttö: begin end netcat whois.cymru.com 43 < kyselytiedosto Toimii hyvin vielä satojen-tuhansien osoitteiden kyselyillä

4 Passiivinimipalvelu Sensoriverkko joka tallettaa nimipavelimille tehdyt kysymykset (tyypillisesti ilman lähdeosoitetta) ja vastaukset haettavaan tietokantaan Mahdollistaa monipuoliset kysymykset Mihin IP-osoitteisiin verkkotunnus x.y.z on osoittanut? Mitä verkkotunnuksia osoittaa ja on osoittanut IPosoitteeseen ? Mitä verkkotunnuksia palvelee nimipalvelin osoitteessa ? Erillinen esitelmä myöhemmin vinkki CERT-EE:n WHOISpohjaiseen palveluun: whois h sim.cert.ee Haitalliseksi epäiltyjen sivustojen analyysi ÄLÄ tutustu sivustoon standardiselaimella Unix wget ehkä turvallisin menetelmä huomaa jotkut sivustot vaativat oikean User-Agent: -kentän WWW-filtteri sivun sisältöön tutustumiseen joka osaa User- Agent: -syötteen käytön:

5 web-sniffer.net web-sniffer.net

6 Haittaohjelmaepäily? Löydettäessä epäilyttävää Javascript-koodia, analyysiä voi yrittää seuraavalla työkalulla: Vapaasti käytettävä sandbox-ympäristö: Anubiksen ja Wepawetin tulokset esitetään summattuna ASkohtaisesti täällä (FIRE Finding RoguE Networks): (IP-osoitelistaukset eivät sisällä aikaleimoja) Haittaohjelmaepäily?

7 Haittaohjelmaepäily Cymru Malware Hash Registry whois h hash.cymru.com <md5-sig> Myös DNS/HTTP(S)-kyselyt ja bulk-kyselymahdollisuus Seurattavia julkisia listoja: Malware Domain List (

8 Eri tietolähteitä SURLBL Spammed URL Block List Composite Block List IP-pohjainen spam-lähde -suodatuslista Suomen tilanne eilen: 414 IP-osoitetta, 0.01% kokonaisosoitemäärästä Maasijoitus 134 Oman verkon tilanneseuranta Google Webmaster Tools w.evilsite.fi

9 Puhelin: Sähköposti: www: cert@ficora.fi CERT-FI:n julkiset varoitukset voi lukea: Sähköpostitse hälytyspalveluna SMS-hälytyspalveluna (maksullinen) CERT-FI:n www-sivuilta RSS-uutispalveluna YLE:n teksti-tv:n sivulta 848