Nathan Claeys en Jeroen Penninck

Een nieuw soort wormmaakt gebruik van IPv6

Nathan Claeys en Jeroen Penninck

Inhoudsopgave

Wat is een worm?Overschakeling van IPv4 naar IPv6Nieuwe intelligente wormen● Strategie● Experiment + Simulatie● Hoe beveiligen tegen de worm?

Nathan Claeys en Jeroen Penninck

Wat is nu juist een worm?

= Computerprogramma verspreidt zich over een netwerk

1

Nathan Claeys en Jeroen Penninck

Wat is nu juist een worm?

= Computerprogramma verspreidt zich over een netwerk

Soorten wormen (methodes):– Random address scanning

1

Nathan Claeys en Jeroen Penninck

Wat is nu juist een worm?

= Computerprogramma verspreidt zich over een netwerk

Soorten wormen (methodes):– Random address scanning– Multicast-scanning

1

Nathan Claeys en Jeroen Penninck

Wat is nu juist een worm?

= Computerprogramma verspreidt zich over een netwerk

Soorten wormen (methodes):– Random address scanning– Multicast-scanning– Domain Name Service scanning

1

Nathan Claeys en Jeroen Penninck

Wat is nu juist een worm?

= Computerprogramma verspreidt zich over een netwerk

Soorten wormen (methodes):– Random address scanning– Multicast-scanning– Domain Name Service scanning– Address Resolution Protocol scanning

1

Nathan Claeys en Jeroen Penninck

Overschakelen van IPv4 naar IPv6

IPv6● Veiliger voor Random address scanning dan IPv4

(Meer mogelijke adressen)● Maar nieuwe mogelijkheid: Multicast-scanning

2

Nathan Claeys en Jeroen Penninck

Overschakelen van IPv4 naar IPv6

IPv6● Veiliger voor Random address scanning dan IPv4

(Meer mogelijke adressen)● Maar nieuwe mogelijkheid: Multicast-scanning

Tijdens overschakeling van IPv4 IPv6IPv4-IPv6 dual-stack netwerken

= lijkt goede oplossing

2

Nathan Claeys en Jeroen Penninck

Nieuwe intelligente soort worm

Ander soort netwerk (IPv4/IPv6)

3

andere methode

Nathan Claeys en Jeroen Penninck

Nieuwe intelligente soort worm

Ander soort netwerk (IPv4/IPv6)

dual-stack netwerken zijn ideaalvoor de worm!

3

andere methode

Nathan Claeys en Jeroen Penninck

Nieuwe intelligente soort worm

Ander soort netwerk (IPv4/IPv6)

dual-stack netwerken zijn ideaalvoor de worm!

3

andere methode

= Hybride worm (twee methoden)

Nathan Claeys en Jeroen Penninck

IPv6?

Multicast-scanning Random address scanning

Ja Nee

Strategie hybride worm

4

Nathan Claeys en Jeroen Penninck

IPv6?

Multicast-scanning Random address scanning

Ja Nee

Valt alle IPv6 computers aan in het lokale netwerk

Valt IPv4 computer aan

Strategie hybride worm

4

Nathan Claeys en Jeroen Penninck

IPv6?

Multicast-scanning Random address scanning

Ja Nee

Valt alle IPv6 computers aan in het lokale netwerk

Valt IPv4 computer aan

Ook IPv4?Nee Ja

Strategie hybride worm

4

Nathan Claeys en Jeroen Penninck

Opstelling experiment

InternetIPv4 - IPv6

5

Nathan Claeys en Jeroen Penninck

Opstelling experiment

Internet

IPv4

IPv4 - IPv6

5

Nathan Claeys en Jeroen Penninck

Opstelling experiment

Internet

IPv4 - IPv6

IPv4

IPv4 - IPv6

5

Nathan Claeys en Jeroen Penninck

Waarom ook een simulatie?

Worm kan niet grootschalig getest worden.(Kunnen niet op internet testen)

Gebruik gemaakt van een wiskundig model(Zelfde model als bij biologische epidemies)

6

Nathan Claeys en Jeroen Penninck

Resultaten simulatie

0 50 100 150 200 250 300 350 400 450 500 550 600 650 700 750 8000

0,5

1

1,5

2

2,5

3

3,5

4

Verspreiding van de worm

Mediaan SimulatieCode RedBlaster

Tijd (min.)

Aant

al b

esm

ette

com

pute

rs

(x 1

00 0

00)

7

Nathan Claeys en Jeroen Penninck

Beveiligingsstrategieën

(1) Maak meer kleine dual-stack netwerken

8

Nathan Claeys en Jeroen Penninck

Beveiligingsstrategieën

(1) Maak meer kleine dual-stack netwerken

(2) Meer netwerken van dezelfde grootte

8

Nathan Claeys en Jeroen Penninck

Beveiligingsstrategieën

(1) Maak meer kleine dual-stack netwerken

(2) Meer netwerken van dezelfde grootte

(3) Schakel over naar enkel IPv6

8

Nathan Claeys en Jeroen Penninck

Conclusie

Overschakeling van IPv4 naar IPv6

Multicast-scanning Hybride worm

9

Nathan Claeys en Jeroen Penninck

Conclusie

Overschakeling van IPv4 naar IPv6

Beveiliging

Multicast-scanning Hybride worm

= gebaseerd op topologische structuur

9

Nathan Claeys en Jeroen Penninck

Nog vragen?

Bron:T. Liu, X. Guan, Q. Zheng and Y. Qu, “A new worm exploiting

IPv6 and IPv4-IPv6 dual-stack networks: experiment, modeling, simulation, and defense,” IEEE Network, pp. 22-29,

september, oktober 2009.