Tracing Fast-moving Worms Tracing Schnelllauf-Worms

Trojans that steal your bank details and botnets that zombify computers have taken the place of fast-spreading worms in the popular headlines. Trojaner stehlen, dass Ihre Bankverbindung und Botnets, dass zombify Computern getroffen haben, den Ort der schnell ausbreitende Würmer in der beliebten Schlagzeilen. It’s been a while since we had a global infestation on the scale of MyDoom, Sobig, or ILOVEYOU. Es war eine Zeit, da hatten wir eine globale Verseuchung in der Größenordnung von MyDoom, Sobig, oder ILOVEYOU. However, worms, self-replicating computer programs that spread across a network, are still at the top of the critical lists when it comes to Allerdings, Würmer, Selbst-Replikation von Computerprogrammen, die sich über ein Netzwerk, sind nach wie vor an der Spitze der kritischen Listen, wenn es darum geht, computer security Computersicherheit . Werden.

After all, it is only the headlines that have changed, those botnets are created by the spread of specific worms and similarly Trojans are often delivered by a worm. Denn es ist nur die Schlagzeilen, dass geändert haben, die Botnets werden erstellt, indem die Ausbreitung von Würmern und spezifische ähnlich Trojaner sind oft von einem Wurm.

Indrajit Ray Indrajit Ray a computer science professor at Colorado State University, Andrew Burt CEO of security company Computer Science Professor an der Colorado State University, Andrew Burt CEO der Sicherheitsfirma Techsoft , based in Golden, Colorado, graduate student Michael Darschewski and Prof Ramakrishna Thurimella of the University of Denver and Hailin Wu senior network engineer at , Mit Sitz in Golden, Colorado, Diplomand Michael Darschewski und Prof. Ramakrishna Thurimella der Universität von Denver und Hailin Wu Senior Network Engineer bei Array Networks Array Networks have developed two new approaches to finding the origin of a worm infection. entwickelt haben zwei neue Ansätze zur Feststellung der Herkunft eines Wurm-Infektion. One spots ongoing worm attack, the other works forensically after an attack has occurred. Ein Flecken laufenden Wurm-Attacke, die anderen Werke forensically nach einem Angriff ist aufgetreten.

The researchers point out that conventional approaches to fending off malicious code use signatures, snippets of identifying code found in the worm. Die Forscher weisen darauf hin, dass konventionelle Ansätze zur Abwehr bösartiger Code verwenden Signaturen, Auszügen aus Identifizierungskode in der Wurm. However, some worms spread so quickly that there is often not enough time to update security software with the new codes before the damage is done. Einige Würmer können sich so schnell, dass es oft nicht genügend Zeit für die Sicherheits-Software-Update mit den neuen Codes, bevor der Schaden schon angerichtet ist. Some worms can infect millions of host computers across the internet within a matter of minutes. Manche Würmer infizieren können Millionen von Host-Computern über das Internet innerhalb weniger Minuten.

The automatic distributed mechanism looks for the propagation roots of a fast-spreading internet worm. Die automatische Verteilung Mechanismus sieht für die Ausbreitung der Wurzeln einer schnellen Ausbreitung von Internet-Wurm. It can identify local worm outbreaks, spot network intrusion, locate internal network abuse, and assist in tracing the worm back to its source. Er kann ermitteln, lokale Ausbrüche Wurm, Spot Network Intrusion, suchen internes Netz missbrauchen, und Unterstützung bei der Verfolgung der Wurm zurück zu seiner Quelle. The team adds that their method works alongside more conventional intrusion detection, bandwidth throttling and human-mediated responses to protect a network. Das Team fügt hinzu, dass ihre Methode funktioniert neben konventionelleren Intrusion Detection, Bandbreitenbeschränkung und Mensch-vermittelte Reaktionen zum Schutz eines Netzwerks.

The approach is quite simple and relatively easy to deploy. Der Ansatz ist sehr einfach und relativ leicht zu implementieren. “Our system is based on the observation that in order for any worm to spread rapidly, the moment it compromises a host, it must immediately identify a new set of victims,” the researchers explain, “Infection will almost surely be manifested by an explosive rate of outbound connection attempts from the site.” "Unser System basiert auf der Beobachtung, dass damit jede Wurm verbreitet sich schnell, der Moment ist Kompromisse ein Host ist, muss sofort identifizieren, eine neue Reihe von Opfern," Die Forscher erklären, "Infektion wird fast sicher manifestiert durch eine explosive Satz von ausgehende Verbindung Versuche aus dem Ort. "

The key to combating this infection is to deploy a monitoring program at the network gateways that spots such flash floods of outbound connection attempts, assumes that can only be due to the presence of a fast-spreading worm and blocks the activity almost instantaneously. Der Schlüssel zur Bekämpfung dieser Infektion ist die Bereitstellung eines Überwachungs-Programm in das Netzwerk-Gateways, dass solche Spots Sturzfluten der ausgehenden Verbindung versucht, geht davon aus, dass nur aufgrund des Vorhandenseins einer sich schnell ausbreitende Würmer und blockiert die Aktivität fast augenblicklich. Of course, the network administrator could whitelist any legitimate programs that may mimic such activity and so prevent false positives and network downtime for such programs. Natürlich, der Netzwerk-Administrator könnte Whitelist jede legitime Programme, die Mimik einer solchen Tätigkeit und so verhindern, dass False Positives und Netzwerk-Ausfallzeiten für solche Programme. More importantly, the monitors can work in reverse identifying network upstream neighbors and so figure out where the root is. Noch wichtiger ist, dass die Bildschirme funktionieren kann in umgekehrter Ermittlung Netzwerk Upstream-Nachbarn und so herauszufinden, wo die Wurzel ist.

The team’s simulations of worm infections show that even if only 20 to 30% of computers in a network have deployed the system, then the origin of a worm can nevertheless be pinpointed with great precision. Das Team der Simulationen von Wurm-Infektionen zeigen, dass selbst wenn nur 20 bis 30% der Computer in einem Netzwerk eingesetzt haben, das System, dann wird der Ursprung eines Wurm kann jedoch feststellen mit großer Präzision.

Details of the distributed worm defense can be found in the January issue of Details der Wurm verteilt Verteidigung finden Sie in der Januar-Ausgabe von International Journal of Security and Networks (2008, 3, 36-46) Internationale Zeitschrift für Sicherheit und Netzwerke (2008, 3, 36-46) . . You can get a free white paper on security for your business entitled ” Sie erhalten ein kostenloses White Paper über die Sicherheit für Ihr Unternehmen " 7 Essential Steps to Achieve, Measure and Prove Optimal Security Risk Reduction 7 wesentlichen Schritte zu erreichen sein, messen und beweisen optimale Sicherheit Risk Reduction here. hier. The white paper is published by Qualys and is available from our partner site for free. Das White Paper wird herausgegeben von Qualys und ist erhältlich bei unseren Partner-Website kostenlos.