Analysis of collaboration and agility in internet traffic for malware detection

Internet-Kriminelle sind auserst kreativ im Entwickeln neuer Einkommensmoglichkeiten und konnen diese in kurzester Zeit einsetzen. Dies wird durch ein lebendiges Okosystem an kriminellen Diensten ermoglicht, auf das neue Angriffe kurzfristig aufsetzen konnen. Die Wiederverwendung solcher Diensteplattformen fuhrt dazu, das der dadurch verursachte Internet Verkehr oft Zeichen von Kollaboration aufweist, z.B. wenn ein Ziel von mehreren Rechnern gleichzeitig angegriffen wird, oder wenn ein bestimmter Server von mehreren kriminellen Diensten verwendet wird. Ahnlich wie gutartige Dienste sind diese Plattformen hochskalierbar ausgefuhrt, da hohe Verfugbarkeit fur moglichst viele Opfer von Internetkriminalitat sich direkt in hoheren Ertragen ausdruckt. Jedoch sind Kriminelle mit dauernden Gegenmasnahmen von Regierungseinrichtungen und Unternehmen fur Internetsicherheit konfrontiert. Um dadurch verursachte Serverausfalle und Zugriffseinschrankungen zu kompensieren, mussen diese kriminellen Plattformen standig ``in Bewegung'' bleiben, und eine gewisse Agilitat aufweisen. So andern kriminelle Dienste etwa regelmasig die Domain Namen unten denen sie erreichbar sind und wechseln die verwendeten Server. Auserdem werden oftmals Peer-To-Peer Kommunikationstechnologien eingesetzt die dafur sorgen das einzelne Ausfalle automatisch ausgeglichen werden. Diese Arbeit beschaftigt sich mit dem Problem der Erkennung von Gruppen von Internet Diensten und Hosts die gemeinsam an solchen ausweichenden Manovern teilnehmen. Ich beschreibe im folgenden zwei komplementare Ansatze die verschiedene Typen von Agilitat addressieren: (i)~Die Analyse von Verkehrsdaten des Domain Name Systems (DNS) zielt auf die Namensauflosung von kriminellen Diensten ab. Es wird ein Mechanismus zur effizienten Modellierung von Zusammenhangen zwischen Domain Namen und IP Addressen entwickelt, der regelmasige Aktualisierungen explizit unterstutzt. Neue DNS Informationen, die nicht dem Modell entsprechen, werden als agile Variationen interpretiert und sind daher Kandidaten fur kriminelle Aktivitaten. Das vorgeschlagene System analysiert derartige Aktivitaten weiterer Folge auf Zeichen von Kollaboration und ist in der Lage kriminelle Diensteplattformen zuverlassig zu identifizieren. (ii)~Mittels Profiling von Ende-zu-Ende Verbindungen im Internet werden typische Aktivitatsmuster aller betrachteter Hosts extrahiert. Das System zur Erkennung von krimineller Aktivitat baut auf einer statischen, Daten-adaptiven Beschreibung der Netzressourcen die von diesen Hosts kontaktiert werden auf, und erkennt ungewohnliche oder seltene Verbindungen, ohne dabei auf Information von hoheren Protokollschichten, wie z.B. das verwendete Applikationsprotokoll oder die tatsachlichen Nutzdaten, zuruckgreifen zu mussen. Beide Ansatze stellen verdachtige Internetaktivitat als Graphen dar und finden Sub-Strukturen die auf kriminelle Aktivitaten zuruckzufuhren sind. Zusatzlich zu der Erkennung der einzelnen kriminellen Dienste ermoglicht diese Darstellung ein Verstandnis fur die Kommunikationsanforderungen eines bestimmten solchen Dienstes, und unterstutzt dadurch Experten bei kontrollierten Gegenmasnahmen gegen essentielle Elemente dieser Infrastruktur. Die Erkennung solcher krimineller Kollaboration erfordert zwangslaufig die Analyse der Verkehrsdaten einer ausreichend hohen Anzahl von Internet Hosts. Der vorgeschlagene Ansatz ist daher fur die Uberwachung von grosen Netzen, mit bis zu mehreren hunderttausend Hosts, entwickelt. Die einzelnen Analyseschritte weisen eine niedrige Komplexitat auf und erfullen dadurch Echtzeitanforderungen. Der entwickelte Prototyp wurde mit Verkehrsdaten von grosen Netzen evaluiert. Die DNS Analyse hat dabei zur Erkennung einer Anzahl verschiedener krimineller Aktivitaten gefuhrt, wobei die False Positive Rate unter 0.0001\% lag. Das System reagiert dabei empfindlicher als vergleichbare Ansatze und benotigt gleichzeitig weniger Informationen. Die komplementare Analyse von Internet Verbindungen ist in der Lage die Komplexitat der zu analysierenden Verbindungsgraphen um bis zu vier Zehnerpotenzen zu reduzieren. Dadurch konnte z.B. injizierte kriminelle Internet Kommunikation mit perfekter Precision (1.0) and hohem Recall (0.9) detektiert werden. Schlussendlich wird die gemeinsame Verwendung beider Analyseansatze diskutiert und die Erkennung zusatzlicher krimineller Aktivitat diskutiert.