Система DNS: Противодействие противоправной активности в Рунете

Содержание

Слайд 2

Основные угрозы

Вывести из строя DNS (ТЦИ)
Подменить соответствие в DNS (DNS-провайдеры)
Использовать DNS в

Основные угрозы Вывести из строя DNS (ТЦИ) Подменить соответствие в DNS (DNS-провайдеры)
качестве средства доставки «плохого» контента (провайдеры и DNS-сервисы)
Построить обузоустойчивый хостинг или регистратора доменов (Хостинг-провайдеры и регистраторы)

Слайд 3

Ключевой элемент инфраструктуры

Ключевой элемент инфраструктуры

Слайд 4

DDoS DNS

Цель: затруднить возможность получения IP-адресов

12 февраля 2012 о подготовке к такой

DDoS DNS Цель: затруднить возможность получения IP-адресов 12 февраля 2012 о подготовке
атаке сообщила команда Anonimous, потом правда от этого объявления они открестились.

Слайд 5

DNS amplification

Суть борьбы:
- фильтровать на входе resolver-а по IP-отправителя;
- входная фильтрация;
- непубличные

DNS amplification Суть борьбы: - фильтровать на входе resolver-а по IP-отправителя; -
resolver-ы;
- корректная обработка запросов;

Слайд 6

DNS amplification

Согласно VeriSign на корневых серверах за месяц отметилось примерно 10 млн.

DNS amplification Согласно VeriSign на корневых серверах за месяц отметилось примерно 10
резолверов
Согласно данным ТЦИ на авторитативных серверах RU за сутки отмечается в среднем 1,5 млн. резолверов со всего мира
1/4 отвечает на spoof-пакеты
1/8 - открытые резолверы
Power dns resolver - 100 тыс ответов в секунду, у bind производительность в 4-5 раз меньше.

Слайд 7

DNSChanger

4 млн зараженных компьютеров;
регистратор EstDomains - Rove Digital;
2 года расследований ФБР;
Привлечение лидеров

DNSChanger 4 млн зараженных компьютеров; регистратор EstDomains - Rove Digital; 2 года
рынка;
8 месяцев «лечения».

85.255.112.0 through 85.255.127.255
67.210.0.0 through 67.210.15.255
93.188.160.0 through 93.188.167.255
77.67.83.0 through 77.67.83.255
213.109.64.0 through 213.109.79.255
64.28.176.0 through 64.28.191.255

DNS - серверы

Слайд 8

Carlos Díaz Hidalgo
Francisco J.Gomez Rodrigues
“Malware Cloud Distribution”

Что можно хранить в файле зоны?

Carlos Díaz Hidalgo Francisco J.Gomez Rodrigues “Malware Cloud Distribution” Что можно хранить в файле зоны?

Слайд 9

И весь этот спам (2010)

Начиная с февраля 2010 года интернет-домен .ru находится

И весь этот спам (2010) Начиная с февраля 2010 года интернет-домен .ru
на первом месте по количеству зарегистрированного на нем нежелательного контента (спама), обогнав такие домены, как .com, .net, .cn и .info.
Среди стран, где физически расположены серверы, с которых отправляется спам, Россия занимает 4 позицию с 5,3% от общего объема нежелательной почты. Первые три места достались США (9.7% спама), Бразилии (8.4%) и Индии (8.1%).
При этом более 60% зарегистрированных в Китае спамерских URL-адресов имеют домен .ru. Таким образом, согласно исследованию, типичное спам-сообщение рассылается с компьютера, физически расположенного в США, Индии или Бразилии, но имеет URL на домене .ru, а его хостинг находится в Китае.»
2010 Mid-Year Trend and Risk Report
треть всех доменов, зарегистрированных под спам в мире были зарегистрированы в зоне .RU. Почти все эти домены были зарегистрированы через двух российских регистраторов NAUNET и REGRU.
«Russian Pro-Spam Registrars», М86 Security Lab, 09,2010

Слайд 10

И весь этот спам (2011)

«the top five countries sending spam include India,

И весь этот спам (2011) «the top five countries sending spam include
Russia, Brazil, South Korea and Indonesia.».
2011 Mid-Year Trend and Risk Report
Россия занимает первое место в мире по уровню спама (82,2%)
Intelegence Report , Symantec, May 2011

Russia and the USA maintained their status as the countries where malware was detected most frequently in mail traffic. Russia was the overall leader, with the amount of blocked emails with malicious attachments decreasing slightly.
Spam report: June 2011. Kaspersky Lab

Cooperation from ICANN and Top Level Domains. Members of the Working Group were especially pleased with the cooperation and coordination of ICANN and the ccTLDs in the33process. They view ICANN and ccTLD cooperation as a precedent that will help future efforts and discourage malware authors from believing they can easily exploit that portion of the DNS system. Several said they want this emphasized publicly to reinforce that message and thank those organizations for the job they did.
Conficker Working Group: Lessons Learned. June 2010 (Published January 2011)

Слайд 11

И весь этот спам (2012)

«Согласно статистике ZeuS Tracker по состоянию на 1

И весь этот спам (2012) «Согласно статистике ZeuS Tracker по состоянию на
февраля, число активных центров управления ZeuS в Сети приближается к 200. Больше половины из них находятся на территории США, вдвое меньше ― в России. Из регистраторов хуже всех ситуация у российских «Наунет СП» (94 домена, ассоциированных с ZeuS) и REG.RU (78), из AS-провайдеров ― у азербайджанской ADaNET (15 C&C серверов) и американской GNAXNET (12)»
«Зевс нашел тихую гавань», Kaspersky Lab, (2 февраля 2012)
“Spamhaus also recommends that networks use our Don't Route Or Peer list to drop all traffic originating from or destined for NAUNET's IP address space. This will help protect end users from the activities of the cybercriminals to whom NAUNET persists in providing services.”
Russian registrar NAUNET knowingly harbours Cybercriminals. Spamhous, 22.03.2012

Слайд 12

Microsoft против Джон Доу 1-39

Всего на анкетах, которым принадлежат эти домены, ~21000

Microsoft против Джон Доу 1-39 Всего на анкетах, которым принадлежат эти домены, ~21000 доменов
доменов

Слайд 13

Работа по новым правилам

Когда администратор не виноват (не контролирует контент)
Парковка
Блоки коммерческой

Работа по новым правилам Когда администратор не виноват (не контролирует контент) Парковка
рекламы
Дефекты ПО хостинг-провайдера

Слайд 14

Классификатор целей использования доменов

Account
Имя домена
Вредоносная активность
Взломанный хостинг
Fast-Flux
Экспертная оценка

Классификатор целей использования доменов Account Имя домена Вредоносная активность Взломанный хостинг Fast-Flux Экспертная оценка

Слайд 15

Вредоносная активность

Malware
Количество зарегистрированных в БД фактов размещения malware на данном домене
Тип(ы) Malware

Вредоносная активность Malware Количество зарегистрированных в БД фактов размещения malware на данном
если возможно определить — в случае если мы распологаем такой информацией.
First seen / Время начала активности (время первого зарегистрированного в БД размещения malware на данном домене)
Last Seen / Время последней активности (последние данные о размещении malware по данному домену)
Уровень доверия (0-10) — в зависимости от достоверности источников и частоты жалоб (по фактам размещения malware) на данный домен присваивается число.
Phishing
Botnet

Слайд 16

Вредоносная активность

Malware
Phishing
Количество зарегестрированных в БД фактов размещения phishing на данном домене
Phishing Target(s)

Вредоносная активность Malware Phishing Количество зарегестрированных в БД фактов размещения phishing на
(Ebay, Paypal, Яндекс Деньги etc..) если возможно определить
First seen (по аналогии с malware)
Last Seen
Уровень доверия (0-10)
Botnet

Слайд 17

Вредоносная активность

Malware
Phishing
Botnet
Количество зарегестрированных в БД фактов размещения элементов управления ботнетами
Botnet type

Вредоносная активность Malware Phishing Botnet Количество зарегестрированных в БД фактов размещения элементов
(Zeus, Spyeye etc..) если возможно определить
Уровень доверия (0-10)

Слайд 18

Порядок накопления информации и ее использования

Предупреждение администратора о наличии проблем по аналогии

Порядок накопления информации и ее использования Предупреждение администратора о наличии проблем по
с поисковыми системами
Предупреждение Хостинг-провайдеров о наличии проблем
Предупреждение регистраторов о наличии проблем
Подготовка информации для администрации КЦ и ТЦИ
Взаимодействие с коллегами и «братьями по оружию»

Слайд 19

Что может получиться

В дополнение к существующему бану было проверено и добавлено 13400

Что может получиться В дополнение к существующему бану было проверено и добавлено
доменов
А всего в бане 46181 домен

Слайд 20

Резюме

Быть изгоями плохо
Нужно реально понимать «картину мира»
Нужно интегрироваться в общую систему мероприятий

Резюме Быть изгоями плохо Нужно реально понимать «картину мира» Нужно интегрироваться в
по безопасности DNS
Нужно и демонстрировать и реально участвовать в общем деле
Имя файла: Система-DNS:-Противодействие-противоправной-активности-в-Рунете.pptx
Количество просмотров: 125
Количество скачиваний: 0