Kartläggning av internetrelaterade hot

Transkript

1 Kartläggning av internetrelaterade hot Andra kvartalet 2005 Patrik Nilsson /2005 1

2 Innehåll 1 Sammanfattning 3 2 Aktiviteter på samhällsnivå 4 3 Ursprungsland 5 4 Denial Of Service (DoS) 6 5 Intrångsförsök 7 6 Kartläggning 8 7 Webbattack 9 8 Annan attack 10 2

3 1 Sammanfattning Kartläggning under andra kvartalet 2005 påvisar inga större aktiviteter eller störningar inom övervakningsområdet. I förra kvartalsrapporten kunde man se en ökning av aktiviteter under skolledigheterna och en kraftig ökning av aktiviteter från Sverige. Nu kan vi se att Sverige har fallit tillbaka och att Kina åter har tagit första platsen. Sverige ligger dock på andra plats. För synpunkter och frågor hänvisas till: Patrik Nilsson Tel: E-post: patrik.nilsson@krisberedskapsmyndigheten.se 3

4 2 Aktiviteter på samhällsnivå Definitioner av de aktivitetsområden som analyseras: Denial Of Service (DoS): Attack med syfte att störa eller slå ut systemmiljön, antingen helt eller delvis. Kartläggning: Utforskningsförsök eller attacker med syfte att kartlägga och identifiera systemmiljön och eventuella brister. Intrångsförsök: Attacker med syfte att göra intrång i systemmiljön. Webbattack: Specifika attacker eller misstänkt åtkomstaktivitet mot webbaserade system och tjänster i systemmiljön. Annan attack: Övriga attacker som kan representera annan fientlig aktivitet mot systemmiljön. Generellt sett har även detta kvartal varit relativt lugnt. Det utesluter inte att vissa organisationer kan ha drabbats eller varit utsatta för vissa störningar. Det är inget som har påverkat samhället i stort. 4

5 3 Ursprungsland Nedan presenteras de 10 mest frekventa länder som finns representerade inom övervakningsområdet. Det har inte gjorts någon insats att spåra om någon har försökt dölja eller ändra sitt ursprungsland kopplat till IP-adress. av länderrepresentationen visar att antalet attacker från Kina har återgått till samma nivå som för fjärde kvartalet 2004 och att antalet attacker från Sverige har minskat under kvartalet. USA ligger som tidigare stabilt kvar på samma nivå som tidigare. Några nya länder har kommit in på listan som bland annat Storbritannien och Tyskland. När det gäller andra länder är inte variationen så stor. 5

6 4 Denial Of Service (DoS) DoS är en attack med syfte att störa eller slå ut systemmiljön, antingen helt eller delvis, genom t.ex. överbelastning, framtvingat systemfel m.m. Både misslyckade och lyckade attacker ingår i denna klass. Vid en närmare analys ser man att DoS attackerna har minskat successivt under kvartalet. Det går inte att idag säga hur det kommer att utveckla sig framöver och det finns inget som tyder på en avtagande trend för denna typ av attacker. Vidare analys får göras i nästa kvartal för att se om det blir en trend eller inte. De tre mest frekventa attacker som registrerats inom övervakningsområdet är följande: 1. DDOS shaft client to handler 2. DOS MSDTC attempt 3. WEB-MISC apache DOS attempt 6

7 5 Intrångsförsök Intrångsförsök är attacker med syfte att göra intrång i systemmiljön för att sedan t.ex. kunna extrahera, manipulera eller kartlägga information i de ingående systemen. Både lyckade och misslyckade attacker ingår i denna klass. Intrångsförsöken har varit på relativt stabil nivå under kvartalet. Det finns ingen speciellt som man kan koppla till ökningen under v. 24. Efter denna topp faller aktiviteten tillbaka till tidigare nivåer. De tre mest frekventa attacker som registrerats inom övervakningsområdet är följande: 1. SMTP rcpt to sed command attempt 2. SMTP HELO overflow attempt 3. NETBIOS SMB-DS Session Setup AndX request unicode username overflow attempt 7

8 6 Kartläggning Kartläggning är utforskningsförsök eller attacker med syfte att kartlägga och identifiera systemmiljön och eventuella brister, som ett första steg till eventuella intrångsförsök eller andra attacker. Kartläggningsaktiviteterna har gått i vågor men det har inte varit någon extrem ökning eller minskning totalt sett över kvartalet, utan det har varit på samma nivåer i snitt. De tre mest frekventa attacker som registrerats inom övervakningsområdet är följande: 1. SCAN Proxy (8080) attempt 2. WEB-MISC http directory traversal 3. WEB-MISC Domino domcfg.nsf access Den största aktiviteten är som tidigare portscaning, vilket har gjort att vi har valt att inte ha den på topplistan. Detta för att det är en så vanligt förekommande aktivitet och det är av större intresse att lyfta fram andra aktiviteter i stället. 8

9 7 Webbattack Webbattacker är specifika attacker eller misstänkt åtkomstaktivitet mot webbaserade system och tjänster i systemmiljön. Webbaktiviteterna har gått i vågor, men det har inte varit någon extrem ökning eller minskning, utan det har varit på i snitt samma nivåer totalt sett över kvartalet. De tre mest frekventa attacker som registrerats inom övervakningsområdet är följande: 1. WEB-IIS %2E-asp access 2. WEB-IIS cmd.exe access 3. WEB-IIS view source via translate header 9

10 8 Annan attack Annan attack är typer av attacker eller misstänkta aktiviteter som kan representera annan fientlig aktivitet mot systemmiljön. Aktiviteterna har gått i vågor men det har inte varit någon extrem ökning eller minskning, utan det har varit på i snitt samma nivåer totalt sett över kvartalet. Kvartalet slutade på samma nivå som det startade. De tre mest frekventa attacker som registrerats inom övervakningsområdet är följande: 1. MS-SQL Worm propagation attempt 2. BAD-TRAFFIC data in TCP SYN packet 3. BAD-TRAFFIC bad frag bits 10