Lehrstuhl für Netzarchitekturen und NetzdiensteInstitut für InformatikTechnische Universität München

Abschlussvortrag zur Bachelorarbeit: Untersuchung von DNS­Verkehr durch 

passive Verkehrsmessungen

Betreuer: Lothar Braun

Sebastian Krebs

24. November 2010

2Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Inhalt

Ziele

Verwandte Arbeiten

Entwurf und Implementierung§ Bro­Skripte§ Fast­Flux­Detektor§ DNS­Crawler

Analyse§ allgemeine Beobachtungen zum DNS­Verkehr§ Fast­Flux­Analyse

Fazit

3Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Passive Messung von DNS

Monitoring

Client A

Client B

DNS Server

(A) 1

(A) 2

(A) 3

(A) 4

(B) 1

(B) 2

DNS Server

4Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Fast­Flux­Domains

Domain TTL Class Type IP­Adresseexample.com. 12 IN A118.32.88.12example.com. 12 IN A171.49.13.44example.com. 12 IN A102.0.32.114example.com. 12 IN A41.233.12.34example.com. 12 IN A32.103.244.4

DNS Reply

Lokaler NS

C&C Server

Bots

Proxies

118.32.88.12 171.49.13.44

Fast­Flux NS

5

5

6

6

example.com. ?

5Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Verwandte Arbeiten

Nazario, Holz [2008]: FHY§ Anzahl autonomer Systeme, Anzahl einzigartiger IPs§ FluxScore:§ Schwellwert: 

Holz, Gorecki, Rieck, Freiling [2007]: FMUL§ TTL§ IP­Werte (Abstand, Anzahl)§ Autonome Systeme§ SOA Retry �  Scoring­System

�  Gemeinsamkeit: aktive Messungen

NSASNA nnnxf ⋅+⋅+⋅= 054.1832.1)(

38.142=b

6Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Ziele

Monitoring von DNS

§ Erweiterung von Bro (IDS)

§ Implementierung verschiedener Skripte

§ Unterschied zu Related Work: Passive Messungen

Auswertung an echten DNS­Daten

§ Anonymisierte DNS­Daten des MWN

§ Allgemeine Statistiken/Kennzahlen zum DNS­Verkehr

Erkennen von Fast­Flux­Domains

§ Berücksichtigung verschiedener Fast­Flux­Indikatoren

§ Implementierung eines Fast­Flux­Domain­Detektors

7Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Bro­Skripte und DNS­Filter

M onitor

Netzwerk Internet

Logs Fast­Flux­Dom ains

Bro

DNS­Kennzahlen

FF­Detektor

Bro­Skripte

8Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Allgemeine Analyse

Allgemeine Kennzahlen§ 28.6 % aller DNS­Anfragen gar nicht beantwortet§ 64.4 % aller DNS­Anfragen mit No_Error beantwortet§ 65.7% der DNS­Anfragen stammten von einem lokalen DNS­

Server§ 71.4% der DNS­Antworten stammten nicht aus einem CacheTLDs mit den meisten 

SubdomainsTLDs welche die meisten Records 

zurücklieferten

Domain Anzahl der Subdomains

Domain Anzahl Records

Ø beobachtete Records/Domain

.com 3049865 .net 71441715 79,90

.de 1317779 .com 69140835 22,67

.org 996805 .de 67975400 51,58

.net 894119 .org 7709389 7,73

.ru 264379 .cn 5648240 54,30

9Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Domain­Beobachtungen: Anzahl der Records

Zwei Gründe für viele Records:1. Große Beliebtheit der Domain2. Hohe Anzahl an zurückgelieferten Records pro Domain � CDN­Anbieter

10Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Domain­Beobachtungen: Anzahl der Subdomains

Viele Subdomains durch:§ generische Domains§ Domainverteilung erst ab 3rd­Level­Domain (z.B. co.uk)

11Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Fast­Flux Analyse

Erste Auswertung der Bro­Logs mit Hilfe der Blacklisten§ Zu wenige FF­Domains gesichtet§ Viele falsche Positive

§ CDN§ Cloud­Services …

§ Verdächtige Domains, die nicht in den Blacklisten vorkommen:§ eff5f206553f8e2e.panelsconsul.com§ 28887858ebdd4ab2.wingerstaffs.com§ 08178e9288bffd3b.killersissued.com

è weitere Untersuchungen notwendigè künstlich erzeugte DNS­Queries zu FF­Domainsè usprünglich Teil einer anderen BA

12Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

DNS­Crawler

DNS­Crawler

NameserverSchnittstelle zum Internet

Monitor

Bro NIDS

Datenbank

Fast­Flux­Domains von Blacklist

Eigene Domains

Alexa Top 500 Domains

13Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

DNS­Crawler und Bro

M onitor

Logs Fast­Flux­Dom ains

Bro

DNS­Kennzahlen

FF­Detektor

Bro­Skripte

DNS­Crawler Nameserver

NetzwerkInternet

Viele FF­Domains

14Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Auswertung der beiden Detektoren

Zweite Auswertung mit Hilfe des FF­Detektors:§ Richtig Positive (beide Detektoren): 32§ Falsch Positive FHY : 2372§ Falsch Positive FMUL : 7433§ Falsch Negative (beide Detektoren): 78

Grund für falsche Negative: Blacklisten stimmen nicht!

Grund für falsche Positive: CDNs, Cloud­Services…

15Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

# Domain

Untersuchung der FF­Domains

Beobachtung:§ Bei 70 von 110 Domains nur eine IP­Adresse, nur ein autonomes System

�  Sehr untypisch für Fast­Flux­Domains

Falsch NegativeRichtig Positive

16Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Untersuchung der Richtig Positiven

 § Starke Streuung der IP­Adressen über autonome Systeme§ Zwei Strategien der IP­Verbreitung

�  ASN­FluxScore hätte bei allen 32 erkannten FF­Domains gereicht!

# Domain

17Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Untersuchung der Falsch Positiven

§ Bei ca. 55% der als positiv markierten Domains reicht die Anzahl der IP­Adressen bereits aus um b = 142.38 zu erreichen àKeine Beachtung der ASN­Anzahl mehr!

Viele IP­Adressen

Wenige Autonome Systeme

§ Bei 50% der Falsch Positiven lagen die IP­Adressen in nur einem einzigen Autonomen System

18Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Zusammenfassung

Blacklists sind weder korrekt noch vollständig Falsche Negative sind möglicherweise keine Aktiven Messungen für Ground Truth benötigt o DNS­Crawler

Kriterien aus Related Work matchen auf viele “normale” Domains

Grundlage für weiterführende Arbeiten geschaffen�  Untersuchung der falschen Positiven (Reduktion)

19Untersuchung von DNS­Verkehr durch passive Verkehrsmessungen

Danke für Ihre Aufmerksamkeit