搜索

[10292] 2016-07-12_不解密数据竟也能识别TLS加密的恶意流量？

文档创建者：s7ckTeam
浏览次数：21
最后更新：2025-01-18
2016-07-12_不解密数据竟也能识别TLS加密的恶意流量？ 不 解 密 数 据 竟 也 能 识 别 T L S 加 密 的 恶 意 流 量 ？ 欧 阳 洋 葱   F r e e B u f   2 0 1 6 - 0 7 - 1 2 加 密 一 直 都 是 保 护 用 户 通 讯 隐 私 的 重 要 特 性 ， 可 如 果 恶 意 程 序 在 传 播 过 程 中 也 加 密 的 话 ， 对 这 样 的 流 量 做 拦 截 感 觉 就 麻 烦 了 很 多 。 谈 到 加 密 ， T L S （ T r a n s p o r t   L a y e r   S e c u r i t y   P r o t o c o l ， 传 输 层 安 全 协 议 ） 就 是 当 前 使 用 非 常 广 泛 的 协 议 ： 国 外 部 分 研 究 机 构 的 数 据 显 示 ， 已 有 至 多 6 0 % 的 网 络 流 量 采 用 T L S ， 当 然 也 包 括 一 些 恶 意 程 序 （ 虽 然 大 约 只 有 1 0 % ） 。 来 自 思 科 的 一 组 研 究 人 员 最 近 研 究 出 一 种 方 法 ， 不 需 要 对 这 类 流 量 进 行 解 密 ， 就 能 侦 测 到 采 用 来 自 思 科 的 一 组 研 究 人 员 最 近 研 究 出 一 种 方 法 ， 不 需 要 对 这 类 流 量 进 行 解 密 ， 就 能 侦 测 到 采 用 T L S 连 接 的 恶 意 程 序 ， 是 不 连 接 的 恶 意 程 序 ， 是 不 是 感 觉 有 点 小 神 奇 ？ 是 感 觉 有 点 小 神 奇 ？ T L S 协 议 这 是 怎 么 做 到 的 ？ 这 是 怎 么 做 到 的 ？ 思 科 已 经 公 开 了 这 份 研 究 报 告 ， 题 为 《 辨 认 使 用 T L S 的 恶 意 程 序 （ 无 需 解 密 ） 》 （ 英 文 其 实 表 达 得 更 为 准 确 ， 名 为 ” D e c i p h e r i n g   M a l w a r e ’ s   u s e   o f   T L S ” ） 。 我 们 比 较 笼 统 地 归 结 原 理 ， 其 实 是 T L S 协 议 本 身 引 入 了 一 系 列 复 杂 的 数 据 参 数 特 性 — — 这 些 特 性 是 可 以 进 行 观 测 检 查 的 ， 这 样 自 然 就 能 针 对 通 讯 双 方 做 出 一 些 合 理 的 推 断 。 这 份 报 告 中 有 提 到 ： “ 通 过 这 些 特 性 ， 我 们 可 以 检 测 和 理 解 恶 意 程 序 通 讯 方 式 ， 与 此 同 时 T L S 本 身 的 加 密 属 性 也 能 提 供 良 性 的 隐 私 保 护 。 ” 听 起 来 似 乎 还 是 比 较 理 想 的 新 技 术 — — 在 不 需 要 对 流 量 进 行 解 密 的 情 况 下 就 达 成 流 量 安 全 与 否 的 判 断 ， 的 确 具 备 很 大 意 义 。 为 此 ， 思 科 大 约 分 析 了 1 8 个 恶 意 程 序 家 族 的 数 千 个 样 本 ， 并 在 企 业 网 络 中 数 百 万 加 密 数 据 流 中 ， 分 析 数 万 次 恶 意 连 接 。 整 个 过 程 中 ， 网 络 设 备 的 确 不 对 用 户 数 据 做 处 理 ， 仅 是 采 用 D P I （ 深 度 包 检 测 技 术 ） 来 识 别 c l i e n t H e l l o 和 s e r v e r H e l l o 握 手 信 息 ， 还 有 识 别 连 接 的 T L S 版 本 。
“ 在 这 篇 报 告 中 ， 我 们 主 要 针 对 4 3 3 端 口 的 T L S 加 密 数 据 流 ， 尽 可 能 公 正 地 对 比 企 业 一 般 的 T L S 流 量 和 恶 意 T L S 流 量 。 为 了 要 确 认 数 据 流 是 否 为 T L S ， 我 们 需 要 用 到 D P I ， 以 及 基 于 T L S 版 本 的 定 制 s i g n a t u r e ， 还 有 c l i e n t H e l l o 和 s e r v e r H e l l o 的 信 息 类 型 。 ” “ 最 终 ， 我 们 在 2 0 3 个 端 口 之 上 发 现 了 2 2 9 3 6 4 个 T L S 流 ， 其 中 4 4 3 端 口 是 目 前 恶 意 T L S 流 量 使 用 最 普 遍 的 端 口 。 尽 管 恶 意 程 序 端 口 使 用 情 况 多 种 多 样 ， 但 这 样 的 情 况 并 不 多 见 。 ” 不 仅 如 此 ， 据 说 他 们 还 能 就 这 些 恶 意 流 量 ， 基 于 流 量 特 性 将 之 分 类 到 不 同 的 恶 意 程 序 家 族 中 。 “ 我 们 最 后 还 要 展 示 ， 在 仅 有 这 些 网 络 数 据 的 情 况 下 ， 进 行 恶 意 程 序 家 族 归 类 。 每 个 恶 意 程 序 家 族 都 有 其 独 特 的 标 签 ， 那 么 这 个 问 题 也 就 转 化 为 不 同 类 别 的 分 类 问 题 。 ” “ 即 便 使 用 相 同 T L S 参 数 ， 我 们 依 然 就 够 辨 认 和 比 较 准 确 地 进 行 分 类 ， 因 为 其 流 量 模 式 相 较 其 他 流 量 的 特 性 ， 还 是 存 在 区 别 的 。 我 们 甚 至 还 能 识 别 恶 意 程 序 更 为 细 致 的 家 族 分 类 ， 当 然 仅 通 过 网 络 数 据 就 看 不 出 来 了 。 ” 实 际 上 ， 研 究 人 员 自 己 写 了 一 款 软 件 工 具 ， 从 实 时 流 量 或 者 是 抓 取 到 的 数 据 包 文 件 中 ， 将 所 有 的 数 据 输 出 为 比 较 方 便 的 J S O N 格 式 ， 提 取 出 前 面 所 说 的 数 据 特 性 。 包 括 流 量 元 数 据 （ 进 出 的 字 节 ， 进 出 的 包 ， 网 络 端 口 号 ， 持 续 时 间 ） 、 包 长 度 与 到 达 间 隔 时 间 顺 序 （ S e q u e n c e   o f   P a c k e t   L e n g t h s   a n d   T i m e s ） 、 字 节 分 布 （ b y t e   d i s t r i b u t i o n ） 、 T L S 头 信 息 。 其 实 我 们 谈 了 这 么 多 ， 还 是 很 抽 象 ， 整 个 过 程 还 是 有 些 小 复 杂 的 。
分 析 结 果 准 确 性 还 不 错 分 析 结 果 准 确 性 还 不 错 思 科 自 己 认 为 ， 分 析 结 果 还 是 比 较 理 想 的 ， 而 且 整 个 过 程 中 还 融 合 了 其 机 器 学 习 机 制 （ 他 们 自 己 称 为 机 器 学 习 c l a s s i f i e r s ， 应 该 就 是 指 对 企 业 正 常 T L S 流 量 与 恶 意 流 量 进 行 分 类 的 机 制 ， 甚 至 对 恶 意 程 序 家 族 做 分 类 ） ， 正 好 做 这 一 机 制 的 测 试 。 据 说 ， 针 对 恶 意 程 序 家 族 归 类 ， 其 准 确 性 达 到 了 9 0 . 3 % 。 “ 在 针 对 单 独 、 加 密 流 量 的 识 别 中 ， 我 们 在 恶 意 程 序 家 族 归 类 的 问 题 上 ， 能 够 达 到 9 0 . 3 % 的 准 确 率 。 在 5 分 钟 窗 口 全 部 加 密 流 量 分 析 中 ， 我 们 的 准 确 率 为 9 3 . 2 % （ m a k e   u s e   o f   a l l   e n c r y p t e d   f l o w s   w i t h i n   a   5 - m i n u t e   w i n d o w ） 。 ” *   F r e e B u f 官 方 报 道 ， 本 文 作 者 ： 欧 阳 洋 葱 ， 转 载 请 注 明 来 自 F r e e B u f 黑 客 与 极 客 （ F r e e B u f . C O M ） 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理