ULAKNET Balküpü Ağ Saldırı Tespit Sistemi. Onur BEKTAŞ (onur at ulakbim. gov.tr) Murat SOYSAL (msoysal at ulakbim.gov.tr)

Transkript

1 ULAKNET Balküpü Ağ Saldırı Tespit Sistemi Onur BEKTAŞ (onur at ulakbim. gov.tr) Murat SOYSAL (msoysal at ulakbim.gov.tr)

2 BALKÜPÜ? Balküpleri bilgi ve ağ güvenliğine yönelik yapılan saldırıların farkına varmak, saldırganların yöntemlerini izlemek, metodlarını belirlemek, yeni geliştirilen saldırı sistemlerini önceden haberdar olmak için özel olarak tasarlanmış yazılım veya sistemlerdir. Balküpleri kullanım alanları ve oluşturulma amaçlarına göre iki sınıf altında incelenebilir. Production balküpü Araştırma balküpü Balküpleri komplekslik seviyesine göre iki kısımda incelenebilir Yüksek iletişimli balküpleri (High interaction honeypot) Düşük iletişimli balküpleri (Low interaction honeypot)

3 ULAKNET Balküpü CSIRT çalışma grubu. Tüm kullanılmayan IP adresleri balküpüne yönlendiriliyor. İki sunucu üzerinde honeywall + honeyd ikilisi çalıştırılıyor. Düşük iletişimli honeyd tabanlı. IP spoofing ile tüm IP adreslerine yönlenen saldırılar kayıt altına alınıyor Şubat ayından itibaren faliyette.

4 Niçin böyle bir program yazdık? Hangi ülkeler bize saldırıyor kişisel merak. Hangi uçlarımız balküpüne takılıyor? Kimler virus yayıyor? Top 10 attack list :) Üniversitelere ağları hakkında bilgi verecek yeni bir araç oluşturmak. Saldırı yapan uçları teşhir etmek.

5 ULAKNET Balküpü Analiz Programı Başlangıçta hangi ülkeler saldırıyor diye yaptığım 2 saatlik çalışmanın ürünü olarak doğdu. Bash, sed, awk, perl karması. Syslog-ng programı ile balküpünden alınan log dosyası günlük,saatik olarak işleniyor. IP adresi Ülke eşleştirilmesi için GeoIP veri tabanı kullanıldı. Perl grafik modülü ile grafikler çiziliyor. Web arayüzü Saldırı yapan tüm IP adresleri webde!! GPL lisanslı.

6 Sayılarlarla incelenen honeyd log dosyası (1) 1 Aralık Aralık 2007 arası honeyd log dosyası kaydı Mbyte işlenecek dosya satır log. 1,699,529 tekil IP kaydı. (Türkiye üzerine kayıtlı toplam IP adresi 8.5 milyon civarında) 6445 tekil ULAKNET ip kaydı.

7 Sayılarlarla incelenen honeyd log dosyası (2) TOPLAM O R AN GÜN S ATIR UÇ , , , , , , , , , , , , , , , ,28 TOPLAM (YÜZD E) GÜN S ATIR UÇ ORAN (YÜZD E) , , , , , , , , , , , , , ,19

8 Sayılarlarla incelenen honeyd log dosyası (3) GÜN 1 TEK IL IP S AYIS I UÇ IP S AYIS I 31 O R AN (YÜZD E) 0, , , , , , , , , , , , , , , ,03 GÜN 17 TEK IL IP S AYIS I UÇ IP S AYIS I 64 OR AN (YÜZD E) 0, , , , , , , , , , , , , , ,2

9 Program çıktıları (1) Saatlik ULAKNET uçlarının istatistikleri En çok saldırı yapan 10 ULAKNET IP adresi ve hangi uca bağlı oldukları. En çok saldırı gerçekleştiren ilk 10 ULAKNET ucu Balküpü ağına yönlenen en yoğun 5 port (flow biligisinden)

10 Program çıktıları (2) Günlük UL A K NET istatistikleri En çok saldırı yapan 10 ULA K NET IP adresinin hangi uca ait olduğu En çok saldırı gerçekleştiren ilk 10 UL A K NET ucu -GENEL istatistikler En çok saldırı yapan 10 IP adresinin Ülkelere göre dağılımı. Saldırı yapan tekil IP adresine göre ilk 10 ülke.(yapılan saldırı sayısı gözününe alınmadan) Saldırı sayısına göre ilk 10 ülke.

11 TEK (UNIQ) IP SAYISINA GÖRE ÜLKE SONUÇLARI Yapılan saldırı sayısı göz önüne alınmadan saldırı yapan tekil ip adresi sayısına göre 1 numara 30 gün ABD 2 numara 17 China, 12 Germany, 2 Spain 3 numara 16 Germany, 8 Spain, 5 China, 1 Turkey,1 Italy. İlk üç toplamda 31 United,28 Germany,22 China,10 Spain,1 Turkey, 1 Italy İlk 5 toplamda 31 United,31 Spain, 31 Germany, 30 China 31 France, 7 Italy,6 Canada 3 Korea, 2 Turkey, 1 N/A İlk 10 toplamda 54 United, 31 Spain, 31 Germany, 31 France.31 China, 30 Canada, 28 Korea, 28 Italy, 10 Turkey, 10 Japan, 10 Brazil, 5 N/A, 3 Poland, 3 Mexico, 3 Israel, 2 Russian

12 ÇOĞUL IP SAYISINA GÖRE ÜLKE SONUÇLARI Yapılan saldırı sayısı göz önüne alınarak saldırıların ülkelere göre dağılımı (Uzun listelerde ilk 10'dan sonrası gösterilmemiştir) 1 numara 25 China,3 United, 1 N/A, 1 Poland, 1 Romania 2 numara 13 United, 6 China, 4 Russian, 3 Romania, 2 Poland, 1 Ukraine, 1 Turkey, 1 Sweden 3 numara 9 United, 3 Turkey,3 N/A, 3 Italy, 2 Russian,2 Romania, 1 Ukraine, 1 Taiwan, 1 Sweden, 1 Spain, 1 Portugal, 1 Poland, 1 Mexico, 1 Latvia, 1 Israel İlk üç toplamda 31 China, 25 United, 6 Russian, 6 Romania, 4 Turkey, 4 Poland, 4 N/A, 3 Italy, 2 Ukraine, 2 Sweden, 1 Taiwan, 1 Spain, 1 Portugal, 1 Mexico, 1 Latvia, 1 Israel İlk 5 toplamda 32 United, 31 China, 10 Romania, 10 Poland,10 Italy, 9 Turkey, 8 Russian, 7 N/A, 7 Canada, 5 Taiwan, 4 Germany, 3 Ukraine, 3 Sweden, 3 Spain, 2 Saudi, 2 Portugal, İlk 10 toplamda 45 United, 31 China, 29 Canada, 26 Korea, 22 Taiwan, 20 Turkey, 17 Germany, 16 Russian, 16 Italy, 15 Romania, 15 Poland, 13 N/A, 10 Portugal, 5 Japan

13 En Çok Saldır Yapan IP Adreslerinin Ülkeleri Uzun listelerde ilk 10'dan sonrası gösterilmemiştir 1 numara 6 China, 4 Turkey, 4 Poland, 3 United, 3 Mexico, 2 Ukraine, 2 Taiwan, 2 Saudi, 1 Russian, 1 Romania, 1 Latvia, 1 Germany, 1 Austria 2 numara 6 Turkey, 5 Taiwan, 5 China, 3 Poland, 2 Sweden, 2 Germany, 1 Ukraine, 1 N/A, 1 Korea, 1 India, 1 Hong, 1 Greece, 1 Austria, 1 Algeria, 3 numara 8 China, 7 Turkey,3 United, 2 Taiwan, 2 Korea, 1 Uruguay, 1 Spain, 1 Russian, 1 Poland, 1 Malaysia, 1 India, 1 Hong, 1 Germany, 1 Austria, İlk üç toplamda 17 China,13 Turkey,13 Taiwan,11 Poland,4 United,3 Ukraine,3 Mexico,3 Japan,3 Germany, 2 Sweden,2 Saudi,2 Russian,2 Latvia,2 Korea,2 Austria İlk 5 toplamda 31 China, 26 Turkey, 16 Taiwan, 12 Poland, 10 United, 7 Korea, 5 Germany, 4 Mexico, 4 Japan, 4 Austria, 3 Ukraine, 3 Sweden, 3 Russian, 2 Slovenia, 2 Saudi, 2 Romania İlk 10 toplamda 70 China, 39 Turkey, 31 Taiwan, 29 United, 14 Korea, 12 Poland, 9 Greece, 8 Germany, 7 Russian, 7 Romania, 7 Mexico, 7 Japan, 6 Austria, 5 Ukraine, 4 Sweden,4 Slovenia

14 ULAKNET UÇLARININ IP ADRESİNE GÖRE SONUÇLARI Uzun listelerde ilk 10'dan sonrası gösterilmemiştir 1 numara 11 KOC-NET, 7 BAHCESEHIR-NET, 5 YYU-NET, 2 TRAKYA-NET, 2 SPOOF, 2 PAMUKKALE-NET, 1 ULAK-NET, 1 CU-NET, 2 numara 7 YYU-NET, 6 KOC-NET, 5 SPOOF,4 CU-NET, 3 BAHCESEHIR-NET,2 TRAKYA- NET,1 PAMUKKALE-NET,1 GATA-NET,1 FIRAT-NET 3 numara 10 KOC-NET, 5 YYU-NET, 5 SPOOF,3 CU-NET,2 GATA-NET,1 TUG-NET,1 SELCUK-NET,1 PAMUKKALE-NET,1 MAYIS19-NET,1 FIRAT-NET,1 DAU-NET İlk üç toplamda 27 KOC-NET,17 YYU-NET,13 SPOOF,9 BAHCESEHIR-NET,8 CU-NET,4 TRAKYA- NET,4 PAMUKKALE-NET,3 GATA-NET,2 FIRAT-NET,1 ULAK-NET, 1 TUG-NET, 1 SELCUK-NET,1 MAYIS19-NET,1 DAU-NET İlk 5 toplamda 33 KOC-NET,32 YYU-NET,22 SPOOF,13 CU-NET,12 GATA-NET,10 BAHCESEHIR- NET,6 PAMUKKALE-NET,5 TRAKYA-NET,5 MAYIS19-NET,3 TUG-NET,2 SELCUK- NET,2 KATU-NET,2 FIRAT-NET, İlk 10 toplamda 49 YYU-NET,49 KOC-NET,48 SPOOF,21 ULAK-NET,17 MAYIS19-NET,16 GATA- NET,16 CU-NET,11 BAHCESEHIR-NET,10 TUG-NET,10 PAMUKKALE-NET,9 EGE- NET,8 TRAKYA-NET, 5 BOUNET,4 TR-BILNET

15 ULAKNET UÇLARININ IP ADRESİNE GÖRE SONUÇLAR Uzun listelerde ilk 10'dan sonrası gösterilmemiştir 1 numara 13 KOC-NET, 6 BAHCESEHIR-NET, 5 YYU-NET, 2 SPOOF, 2 PAMUKKALE-NET, 1 ULAK-NET, 1 TRAKYA-NET, 1 CU-NET 2 numara 9 YYU-NET, 6 SPOOF, 5 CU-NET, 3 BAHCESEHIR-NET, 2 KOC-NET, 2 GATA-NET, 2 FIRAT-NET, 1 TRAKYA-NET, 1 PAMUKKALE-NET 3 numara 6 MAYIS19-NET, 4 SPOOF,4 CU-NET, 3 TRAKYA-NET, 2 GATA-NET, 1 YYU-NET,1 USAK-NET, 1 ULAK-NET, 1 TUG-NET, 1 SELCUK-NET, 1 ORDU-NET, 1 OGU-NET, 1 KATU-NET, 1 ITU-NET, 1 FIRAT-NE 1 BOUNET İlk üç toplamda 5 SPOOF, 5 KOC-NET, 5 GATA-NET, 3 YYU-NET, 3 CU-NET, 2 TRAKYA-NET, 2 PAMUKKALE-NET, 1 TUG-NET, 1 SELCUK-NET, 1 MAYIS19-NET, 1 KASTAMONU- NET, 1 DAU-NET, 1 BOUNET, İlk 5 toplamda 4 CU-NET, 3 ULAK-NET,3 TUG-NET,3 GATA-NET, 2 SPOOF, 2 METU-NET, 2 MAYIS19-NET, 2 ISTANBUL-NET, 2 BOUNET, 2 BASKENT-NET, 1 TSK-Rehabilitasyon- NET, 1 TRAKYA-NET, 1 PAMUKKALE-NET,1 ORDU-NET, 1 KOC-NET, İlk 10 toplamda 8 EGE-NET,4 TUG-NET, 3 CU-NET, 2 SPOOF,2 GATA-NET,2 BOUNET,1 TR-BILNET,1 ORDU-NET,1 METU-NET,1 MAYIS19-NET,1 KOC-NET,1 GANTEP-NET,1 FATIHMED- NET,1 ERCIYES-NET, 1 BAHCESEHIR-NET,1 AFYONKOC-NET,

16 Aylık Sonuçlar /24 bazında en çok IP logu bulunanlar SPOOF (HITIT) SPOOF SPOOF SPOOF AKSARAY MERSIN AKSARAY SPOOF DUZCE SPOOF SPOOF SPOOF INTERFACE IP SPOOF SPOOF AKSARAY (SPOOF) AMASYA SPOOF SPOOF SPOOF

17 Problemler Spoof edilen IP adresinden gelen saldırılar. ULAKNET yönlendiricilerinden ICMP destination unreachable mesajlarının loglanması. Nmap benzeri port tarama programlarının çok sayıda kayıt bırakması.

18 Sonuçlar ULAKNET IP adresleri spoof edilerek saldırılar düzenleniyor. Çalışma sonucunda toplanan IP adresleri yamanmamış olan windows bilgisayarlar ayıklanarak global bir saldırı başlatmaya yeterli sayıda. Yakalan toplam IP adresleri arasında ULAKNET uçlarını oranı az.

19 Sonrası.. Balküpü loglarında otomatik olay kaydı. Spoof edilen IP adreslerinin hangi uçlardan yapıldığını anlamaya yönelik netflow ile beraber ikili tarama programı yazma. Programı diğer uçlardan gelecek olan honeyd loglarınıda inceleyecek şekilde yeniden dizayn etme (Ege Üniversitesi, Enis Karaarslan) Program dilini anlaşılabilir/değiştirilebilir halde tekrar yazma.

20 Teşekkürler + Sorular?