Durch Tools wurde Netzwerkverkehr aufgezeichnet und durch Skripte fast vollständig automatisiert dargestellt.
MacOS, Windows, Python
Durch Tests mit aktueller Malware soll aus einer sicheren Umgebung heraus die Frage geklärt werden, ob man aus den vielen Netzwerkverbindungen die ein Client eröffnet, diejenigen herausgefiltert werden können, die Schadcode nachladen, Dateien verschlüsseln, Daten exfiltrieren, Aufklärung im eigenen Netz machen. Gegebenenfalls kann diese Liste noch erweitert werden. Alle öffentlich verfügbaren, einschlägigen Informationsquellen sollen einbezogen werden. Auch Verkehrsmuster, die in der Literatur beschrieben sind und selber gefundene Muster sollen einfliessen. Anschliessend soll ein Dienst entwickelt werden, der die Netzwerkverbindungen der Clients kategorisiert und darstellt.
Die Überwachung von Netzwerkverbindungen ist ein wichtiges Mittel für die Detektion von Cyberangriffen. Die Herausforderung besteht darin, aus enorm vielen Verbindungen einer ganzen Menge von Clients die schadhaften heraus zu filtern. Es gibt ganz verschiedene Ursachen für den Aufbau von Verbindungen: Der Benützer öffnet einen Browser und macht Anfragen auf Webseiten, eine gutartige Anwendung eröffnet eine Verbindung in die Cloud, das Betriebssystem oder eine installierte Anwendung lädt ein Update herunter, u.s.w. Oder eine Schadsoftware öffnet z.B. eine Verbindung zu einem Command and Control Server. Die Erkennung der letzten Kategorie dürfte am schwersten fallen. Welche Mittel gibt es, um schadhafte Verbindungen zu erkennen? Es gibt eine Reihe von offenen Quellen, die verdächtige oder offensichtlich schadhafte Domänennamen bzw. IP-Adressen auflisten. Auch die Analyse des Domänennamens kann unter Umständen bei einer Kategorisierung weiterhelfen. Andere Ansätze versuchen Muster von schadhaften Verbindungen zu erkennen. Schadsoftware macht gewöhnlich eine oder mehrere folgender Aktionen: Schadcode nachladen, Dateien verschlüsseln, Daten exfiltrieren. Können solche Verbindungen detektiert werden?
Viele verschiedene bestehende Tools, für die Erfassung von Netzwerkverkehr auf einem Client, wurden untersucht und schliesslich zwei ausgewählt, eines unter MacOS und eines unter Windows. Diese Tools wurden so konfiguriert, dass sie alle wichtigen Netzwerkverbindungen aufzeichnen und speichern. Durch mehrere Skripte wurden die gesammelten Daten formattiert, damit sie entsprechend übersichtlich dargestellt werden können. Es ist uns gelungen, diesen Vorgang fast vollständig zu automatisieren. Dennoch bleibt die Interpretation, ob gewisse Verbindungen nun schädlich sind oder nicht, immernoch Sache des Benutzers. In diese Richtung gehende weitere Projekte bieten noch sehr grosses Potenzial.
Projektdauer: 17 Wochen, Aufwand in Personenstunden: 180h pro Person, Teamgrösse: 2er Team
Peter Gysel, Dozent für Netzwerksicherheit am Institut für Mobile und Verteilte Systeme FHNW
Andreas Klamroth
Jonas Witmer
Peter Gysel, peter.gysel@fhnw.ch
