Обнаружение ботнета и снижение последствий его влияния

Авторы: Joseph Massi, Sudhir Panda, Girisha Rajappa, Senthil Selvaraj, and Swapana Revankarbr

Оригинал статьи: http://citeseerx.ist.psu.edu/viewdoc/download?doi=10.1.1.177.7229&rep=rep1&type=pdf

Аннотация

Это исследование оценивает поведение ботнета и закладывает фундамент для развития инструмента для создания генерации трафика ботнетов, который используется для исследования свойств бот-сетей в крупных сетях. Ботнеты создают важные вопросы безопасности и безопасности данных и являются эффективными инструментами для распространения киберпреступности. Крайне важно, чтобы ИТ-сообщества разрабатывало эффективные средства обнаружения и смягчения вредоносного поведения ботнетов. Это исследование предназначено: (а) для моделирования поведения ботов и руководителей ботнетов через переходное состояния, диаграммы и блок-схемы жизненного цикла, (б) для получения моделируемой сети потока данных эквивалентного поведения руководителем ботнета или "ботов", а также хостов во время атаки, и (в) для изучения топологий ботнетов, поведения и жизненного цикла событий и действий.

1. Введение

Ботнет представляет собой общий термин, и представляет собой совокупность программ-роботов, программное обеспечение, которое работает без вмешательства человека. Они несут в основном вредоносный характер, однако они также могут быть связаны с сетью распределенных компьютеров. В этом исследовании рассматривается поведение ботнетов и разработаны модели процессов, которые позволят аналитикам безопасности разработать эффективные анти-ботнет инструменты для смягчения их вредоносных действий. Учитывая широкое распространение негативных последствий ботнетов, влияющих на безопасность и безопасность данной сети или Интернета в целом, крайне важно, чтобы мы боролись с ботнетами с применением новейших технологий и построить на заказ алгоритмы обнаружения ботнетов.

Обнаружение ботнета становится важно, учитывая тот факт, что это может спасти нас на миллиарды долларов каждый год. Это исследование анализирует, как ботнеты работают, чтобы получить ценную информацию, которая может привести к развитию обнаружения ботнета и, в свою очередь, проложить путь для будущей работы над инструментов смягчения последствий от ботнетов.

Исследование было разделено на три задачи. Первой задачей было моделирование поведение ботов и руководителей бот-сети через диаграммы переходного состояния, блок-схемы жизненного цикла, и диаграммы потоков данных. Это помогло нам понять модели поведения ботнетов.

Второй задачей было создание моделируемого (синтетические) сетевого потока (NetFlow, CISCO propriety technology) [35], [36], [37] данные отражают поведение типичного ботнета. Большие количества трафика были проанализированы с генератором трафика NetFlow и из интернета, определялись и рассматривались модели поведения потока данных.

Третья задача заключается в использовании этих данных для изучения топологии ботнета, поведения и жизненного цикла событий и действий. Мы изучили протоколы, включая TCP, ICMP, UDP и HTTP, чтобы изолировать характеристики плохих записей NetFlow ботнета. Это дало нам возможность проверить строительство схемы информационных потоков и диаграммы переходов состояний представляющих жизненный цикл ботнета.

Эта статья организована следующим образом. В разделе 2 представлена общая информация о бот-сетях. В разделе 3 рассматриваются текущие исследования, связанные с этим проектом. В разделе 4 приведены общие направления атак, которые используют ботнеты, а в разделе 5 приведены три тематические исследования в литературе. Основные компоненты, методология и результаты этого исследования представлены в разделе 6. Разделы 7 и 8 представляют наши выводы и рекомендации для дальнейшей работы. Это исследование было проведено в рамках одного семестра дипломном проект (IT691) осенью 2009 года [46]. Доктор Чарльз Тапперт вел курс инструктора и г-н Джозеф Масси был заказчиком проекта [47], [48].

2. Общая информация

Ботнеты существуют уже около 10 лет [17]. Эксперты по безопасности предостерегали общественность об угрозе, исходящей от бот-сетей в течение некоторого времени. Тем не менее, масштаб и размах проблемы, связанной с ботнетами недооценивали, а большинство пользователей не понимают реальной угрозы, которую они представляют [17].

Пресловутый NetBus и Back0rifice2000 (первый ботнет) появились впервые в 1998 году. Это были проверка концепции программы троянского коня. Это были первые программы, включающие в себя полный набор функций, которые сделали возможным удаленное администрирование зараженных компьютеров, что позволяет злоумышленнику выполнять операции с файлами на удаленных машинах, запуск новых программ, делать снимки экрана, открытие или закрытие CD-ROM дисков, и т.д. [13]

2.1. Каким образом ботнет работает?

Большинство ботнетов выполнены в виде распределенной системы, с основным оператором ботнета (бот-мастер), который выдает команды непосредственно на систему. Эти машины распространяют инструкции другим зараженных машин, как правило, через Internet Relay Chat (IRC) [15]. Составляющие типичный ботнет включают в себя сервер программы, клиентскую программу для работы, и программу, которая внедряется на машине жертвы. Все эти три составляющие обычно общаются друг с другом по сети и могут использовать шифрование для скрытности и для защиты от обнаружения или вторжения в сеть управления ботнетом [16].

Пример DDoS-атаки

Рис 2.1 Пример DDoS-атаки [9]

Ботнеты являются эффективными в выполнении задач, которые не смог бы выполнить один компьютер, один IP-адрес, или одно подключение к Интернету. Первоначально, бот-сети были использованы для распределенных атак отказа в обслуживании. (См. рисунок 2.1) Большинство современных веб-сервера разработали стратегии для борьбы с такими атаками DDoS, что делает использование ботнета менее эффективным [15]. При заражении компьютера, боты подключаются к IRC-серверам на выбранный канал в качестве гостей и ожидают сообщение от бот-мастера. Бот-мастер может бать онлайн в любое время, просмотреть список ботов, посылать команды на все зараженные компьютеры сразу, или отправить личное сообщение одному зараженному компьютеру. Это пример централизованного ботнета [13]. (См. рисунок 2.2)

Выдача команд ботам в центтрализованной
топологии

Рис 2.2. Выдача команд ботам в центтрализованной топологии

2.2. Почему ботнеты опасны сегодня?

Бот-сети сегодня являются одним из самых опасных видов сетевых атак, потому что они используют большие, скоординированные группы машин для выполнения как массовых атак, так единичных атак. Совокупность ботов, с инфраструктурой command and control (C&C), формируют ботнет с централизованной топологией [11], [18] и [19]. Так как боты работают вместе в больших группах, принимают команды централизованно от бот-мастера, они могут остановить работу крупномасштабных сетей за короткие сроки.

Много работы было проведено для уменьшения влияния бот-сетей, чтобы избежать потери данных и финансовых потерь. Тем не менее продолжаются работы над исправлением известных уязвимостей в хостах и сетях, всегда находятся уязвимости, которые разработчики вредоносных программ и кибер-преступники могут использовать.