恶意移动代码分析与研究.ppt

恶意移动代码分析与研究 郑 辉 清华大学网络中心 CERNET Computer Emergency Response Team zhenghui@ 主要内容 当前的安全状况 攻防主体 主要研究成果 防治周期理论 主动防治系统 Open Problems 漏洞越来越多… 攻击越来越容易… 病毒数量增长越来越快… 风险越来越大… 病毒、蠕虫、DDoS组合攻击 DDoS 增长趋势 Internet面临的安全挑战 如何防范自动化攻击？ 如何防范快速突发攻击？ 如何防范大规模攻击？ 恶意移动代码主要特性 破坏性(Malicious Code, Malware) 移动性(Mobile Code) 通过网络 通过人 恶意移动代码主要种类 Internet 蠕虫 病毒邮件 文件系统病毒 网页脚本 木马 恶意移动代码的简单比较 各种恶意移动代码的融合趋势 病毒、蠕虫、木马之间的界限已经不再明显； 综合使用多种攻击手段： 传播：计算机系统的漏洞、电子邮件、文件共享、Web浏览等 社会工程（social engineering ) 攻防主体 影响网络安全的三支力量 Hacker VXer Cracker 防范主体 网络运营商、服务提供商、用户； 系统厂商、防毒产品厂商； 科研技术人员、政府主管部门； 蠕虫的历史回顾 Xerox PRAC， 1980年 Morris Worm， 1988年11月2日 WANK Worm， 1989年10月16日 ADM Worm， 1998年5月 Millennium， 1999年9月 Ramen Worm， 2001年1月 Lion Worm， 2001年3月23日 Adore Worm， 2001年4月3日 Cheese Worm， 2001年5月 Sadmind/IIS Worm， 2001年5月 CodeRed Worm， 2001年7月19日 Nimda Worm， 2001年9月18日 Slapper， 2002年9月14日 Slammer， 2003年1月25日 Dvldr32， 2003年3月7日 MSBlaster， 2003年8月12日 Nachi， 2003年8月18日 2004年蠕虫 MyDoom.C 2004年2月9日 Witty Worm 2004年3月20日 Sasser Worm 2004年4月30日 Santy Worm 2004年12月21日 蠕虫的爆发周期越来越短… 漏洞公布和蠕虫爆发的间隔越来越短 恶意移动代码主要研究内容 恶意代码的工作机制 其他工作的基础 传播模型 现有模型忽略太多因素而缺乏指导意义 仿真 仿真Internet难度较大 检测 检测结果出来为时已晚 抑制 现实需求 CCERT的科研优势 长期对恶意移动代码研究的积累； 迅速有效的响应机制； 第一手的网络数据； CodeRed蠕虫监测数据 Blaster Nachi监测数据 Sasser蠕虫监测数据 Witty 蠕虫监测数据 主要研究成果 针对蠕虫个体 实体结构模型 功能结构模型 针对网络 利用DNS服务抑制蠕虫传播 Internet 蠕虫主动防治系统 实体结构模型 功能结构模型 利用DNS服务抑制蠕虫传播 Internet 蠕虫防治周期 预防阶段 检测阶段 遏制阶段 清除阶段 Internet 蠕虫主动防治系统 网络技术发展带来的变化 P2P Overlay网络构成的相对独立网络； IRC、MSN、QQ、BT、eMule IPv6 网络规模 加密传输 蠕虫的扫描策略 典型分类：J. Wu, S. Vangala, L. Gao, and K. Kwiat: Selective Random Scan（选择性随机扫描） 包括Local Preference（本地优先） Routable Scan （可路由地址扫描） Divide-Conquer Scan（地址分组扫描） Hybrid Scan （组合扫描） Extreme Scan （极端扫描），存在一些限制。如： DNS Scan Complete Scan IPv6网络的抗扫描特性 恶意移动代码的技术发展趋势 结合人工智能技术； 动态功能升级技术； 多平台传播技术； 分布式实体技术； Santy蠕虫 描述： 2004年12月21日发现，截止到12月22日，google可以统计到被santy蠕虫破坏的网站已经达到26000多； 利用论坛系统phpBB的漏洞传播； 智能特性： 从搜索引擎google得到攻击站点列表； 存在形式： 脚本代码； Santy蠕虫引出的新问题 如何检测智能蠕虫？ 不需扫描，流量无明显异常； 查询条件的无穷组合； 脚本代码的任意变化； 如何防治