Katsaus analyysityökaluihin Abuse-seminaari 2009 Kauto Huopio Vanhempi tietoturva-asiantuntija CERT-FI Sisältö Taustaselvitys WHOIS Cymru WHOIS (Passive DNS) Case haitalliset www-sivut sivun sisällön analyysi javascript/pdf/flash/exe sandboxing Tietolähteitä
WHOIS Yleinen kyselyprotokolla (RFC 3912) Internet-verkon perustietokannoille: verkkotunnukset (TLD ja CCTLD-verkkotunnusrekisterit) verkko-osoitteet, verkko-osoitelohkot ja AS-numerot (RIPE, ARIN, APNIC, AFRINIC jne) Toistaiseksi kaikki rekisteröintitiedot saatavilla ICANN ja RIR:t selvittävät parasta aikaa tulisiko tietojen saatavuutta rajoittaa Erityisesti RIPE-kyselyissä kannattaa muistaa B flag, antaa muutosten tekijöiden tiedot Cymru WHOIS Team Cymrun tarjoama WHOIS-rajapinta IP->AS-numerokyselyille whois.cymru.com antaa reaaliaikaisen tiedon IP-osoitteen origin-as:sta mahdollisuus bulk-kyselyihin peer-whois.cymru.com antaa reaaliaikaisen tiedon IP-osoitteen upstream-as:sta lisäohjeita kyselyllä help Saatavissa myös DNS ja HTTP/HTTPS kyselyillä Lisätietoja: http://www.team-cymru.org/services/ip-to-asn.html
Cymru WHOIS: esimerkkejä dig www.cert.ee www.cert.ee. 86400 IN A 195.80.103.60 whois h whois.cymru.com 195.80.103.60 AS IP AS Name 8240 195.80.103.60 ASO Autonomous System whois h peer-whois.cymru.com 195.80.103.60 PEER_AS IP AS Name 3249 195.80.103.60 ESTPAK Elion Enterprises Ltd. Cymru WHOIS: bulk-moodi Tarvitaan GNU Netcat muilla netcat-versioilla voi tulla I/Oongelmia Kyselytiedosto: Käyttö: begin 1.2.3.4 5.6.7.8 end netcat whois.cymru.com 43 < kyselytiedosto Toimii hyvin vielä satojen-tuhansien osoitteiden kyselyillä
Passiivinimipalvelu Sensoriverkko joka tallettaa nimipavelimille tehdyt kysymykset (tyypillisesti ilman lähdeosoitetta) ja vastaukset haettavaan tietokantaan Mahdollistaa monipuoliset kysymykset Mihin IP-osoitteisiin verkkotunnus x.y.z on osoittanut? Mitä verkkotunnuksia osoittaa ja on osoittanut IPosoitteeseen 1.2.3.4? Mitä verkkotunnuksia palvelee nimipalvelin osoitteessa 1.2.3.4? Erillinen esitelmä myöhemmin vinkki CERT-EE:n WHOISpohjaiseen palveluun: whois h sim.cert.ee Haitalliseksi epäiltyjen sivustojen analyysi ÄLÄ tutustu sivustoon standardiselaimella Unix wget ehkä turvallisin menetelmä huomaa jotkut sivustot vaativat oikean User-Agent: -kentän WWW-filtteri sivun sisältöön tutustumiseen joka osaa User- Agent: -syötteen käytön: http://www.web-sniffer.net
web-sniffer.net web-sniffer.net
Haittaohjelmaepäily? Löydettäessä epäilyttävää Javascript-koodia, analyysiä voi yrittää seuraavalla työkalulla: http://wepawet.iseclab.org/ Vapaasti käytettävä sandbox-ympäristö: http://anubis.iseclab.org Anubiksen ja Wepawetin tulokset esitetään summattuna ASkohtaisesti täällä (FIRE Finding RoguE Networks): http://maliciousnetworks.org (IP-osoitelistaukset eivät sisällä aikaleimoja) Haittaohjelmaepäily? http://www.virustotal.com
Haittaohjelmaepäily Cymru Malware Hash Registry whois h hash.cymru.com <md5-sig> Myös DNS/HTTP(S)-kyselyt ja bulk-kyselymahdollisuus http://www.team-cymru.org/services/mhr/ Seurattavia julkisia listoja: Malware Domain List (http://www.malwaredomainlist.com)
Eri tietolähteitä SURLBL Spammed URL Block List http://george.surbl.org/lookup.html Composite Block List IP-pohjainen spam-lähde -suodatuslista http://cbl.abuseat.org/ Suomen tilanne eilen: 414 IP-osoitetta, 0.01% kokonaisosoitemäärästä Maasijoitus 134 Oman verkon tilanneseuranta Google Webmaster Tools http://www.google.com/safebrowsing/diagnostic?site=http:ww w.evilsite.fi http://www.google.com/safebrowsing/diagnostic?site=as:asn
Puhelin: +358 9 6966 510 Sähköposti: www: cert@ficora.fi www.cert.fi CERT-FI:n julkiset varoitukset voi lukea: Sähköpostitse hälytyspalveluna SMS-hälytyspalveluna (maksullinen) CERT-FI:n www-sivuilta RSS-uutispalveluna YLE:n teksti-tv:n sivulta 848