国家资通安全会报技术服务中心报告大纲

1、適用於電子商務環境之適用於電子商務環境之網蟲即時偵測及防禦系統網蟲即時偵測及防禦系統 游啟勝*、陳奕明中央資管 電腦網路實驗室國家資通安全會報 技術服務中心*2004.3.272004 電子商務與數位生活研討會2報告大綱報告大綱l現下遭遇的問題l網蟲簡介l網蟲的擴散特性l本文提出的網蟲偵測方法l網蟲即時偵測及防禦系統部署方式l實作與測試l結論2004.3.272004 電子商務與數位生活研討會3現下遭遇的問題現下遭遇的問題l網蟲愈來愈盛行，出現間隔愈來愈短lcodered、codered ii、nimda、slammer、blasterl網蟲影響電子商務運作l無法在第一時間阻止未知網蟲癱瘓外部

2、及內部網路l攻擊加重主機負荷2004.3.272004 電子商務與數位生活研討會4網蟲簡介網蟲簡介l與電腦病毒的異同l同屬惡意程式的一種l網蟲會主動擴散，病毒則依賴使用者執行l網蟲實例l漏洞型網蟲：coderedle-mail 網蟲：netsky (worm_netsky.o)2004.3.272004 電子商務與數位生活研討會5網蟲的擴散特性網蟲的擴散特性 (1/2)l短時間內攻擊眾多不同受害者l網蟲需要大量擴散l使用 ip address 做為擴散目標選擇策略l大多數的正常連線使用 domain name 來連結dst_port, payload2004.3.272004 電子商務與數位生

3、活研討會6網蟲的擴散特性網蟲的擴散特性(2/2)l擴散連線的通訊協定欄位固定 l目的通訊埠、 封包資料欄位（payload）l來源通訊埠、sequence number、acknowledge number、code bits l擴散攻擊封包不會太小 l網蟲的感染及擴散步驟複雜2004.3.272004 電子商務與數位生活研討會7本文的網蟲偵測方法本文的網蟲偵測方法(1/2)l根據流量異常偵測方法加以改良而來l過去：l將網路流量依通訊協定種類（tcp 或 udp）與目的通訊埠加以區分，將相同通訊協定及相同目的通訊埠的流量大小加總 twcert: 即時偵測防治internet worm 2004

4、.3.272004 電子商務與數位生活研討會8本文的網蟲偵測方法本文的網蟲偵測方法(2/2)l現在l假設一部正常的主機不會在短時間內發送大量通訊協定、目的通訊埠、及資料欄位三個條件相同的封包給不同位址的其他主機l配合 dns 查詢記錄及封包大小增加偵測的正確性2004.3.272004 電子商務與數位生活研討會9實作與測試實作與測試 (1/3)l實作於 linux 主機，結合 iptables 以transparent 方式部署於兩個網路之間l對封包資料欄位作 md5 雜湊運算l測試lslammer、blaster攻擊主機linuxwin2000 + sql server 20002004.3

5、.272004 電子商務與數位生活研討會10實作與測試實作與測試 (2/3)2004.3.272004 電子商務與數位生活研討會11實作與測試實作與測試(3/3)2004.3.272004 電子商務與數位生活研討會12網蟲癱瘓內外網路示意圖網蟲癱瘓內外網路示意圖2004.3.272004 電子商務與數位生活研討會13部署方式部署方式 (1/2)l介於路由器與交換器間2004.3.272004 電子商務與數位生活研討會14部署方式部署方式(2/2)l部署於各交接器之間 l部署極致：l安裝各主機上：個人式防火牆、網路卡2004.3.272004 電子商務與數位生活研討會15結論結論l簡潔的偵測方法，可有效偵測目前的已知網蟲，並能