インターネットと運用技術シンポジウム 2016 Internet and Operation Technology Symposium 2016 IOTS /12/1 SMTP AUTH PASSPIE 1,a) 2 3 SMTP AUTH SMTP SMTP AUTH SMTP A

Size: px

Start display at page:

Download "インターネットと運用技術シンポジウム 2016 Internet and Operation Technology Symposium 2016 IOTS /12/1 SMTP AUTH PASSPIE 1,a) 2 3 SMTP AUTH SMTP SMTP AUTH SMTP A"

えつともちやま
4 years ago
Views:

1 SMTP AUTH PASSPIE 1,a) 2 3 SMTP AUTH SMTP SMTP AUTH SMTP AUTH spam SMTP AUTH SMTP SMTP AUTH PASSPIE 1 1 1,000Byte PASSIPIE 1,000Byte 10 IP SMTP F 0.64 SMTP PASSPIE SMTP AUTH SMTP SMTP AUTH PASSPIE : Proposal and Evaluation for detection system using data size of SMTP AUTH password cracking attacks KOUJI SHIMIZU 1,a) MINORU IKEBE 2 KAZUYUKI YOSHIDA 3 Abstract: SMTP AUTH is an extension of SMTP in order to confirm the validity of an sender. We have observed SMTP AUTH password cracking attacks to mail servers in Oita University. If the attacker s SMTP password cracking attack is successful, there has a risk that mail server becomes to send spam. In this paper, we propose a detection system for SMTP AUTH password cracking attacks (PASSIPIE). PASSIPIE system detect SMTP AUTH password cracking attacks using data size of connection between SMTP client and server. Firstly, we investigated data size per connection the following cases, (1) Maximum data size of connection in SMTP AUTH password cracking attacks (2) Minimum data size of connection in successful of mail sending. As an investigation result, we decided to detection threshold values of less than 1000 bytes per connection for SMTP AUTH password cracking attacks. Our system detects SMTP client that connect less than 1000 bytes per connection to SMTP server 10 times continuously to avoid false positives. We evaluated the usefulness of PASSPIE using captured SMTP packet data to SMTP server. We calculated Precision, Recall and F-measure: Precision is 0.51, Recall is 0.86, and F-measure is As a result, the detection results of PASSPIE system included some false positives. We investigated false positives. Our SMTP server rejected the SMTP clients. Therefore, the data size of false positives is less than benign connections. We confirmed to detect SMTP AUTH password cracking attacks by our PASSIPIE system except for rejected client by mail server. Keywords: SMTP, Mail, SMTP Authentication, Anomaly Detection, Password Cracking Attacks 65

2 1. SMTP Authentication SMTP AUTH [1] SMTP spam SMTP AUTH [2] STMP SMTP AUTH SMTP AUTH spam SMTP AUTH SSH SSH SCRAD [3] SCRAD 1 SCRAD SMTP TCP 1 SMTP SMTP AUTH 5 SMTP AUTH 6 SMTP AUTH PASSPIE 7 1 Course of Computer Science and Intelligent Systems, Graduate School of Engineering, Oita University, Oita , Japan 2 Department of Computer Science and Intelligent Systems, Faculty of Engineering, Oita University, Oita , Japan 3 Center for Academic Information and Library Services, Oita University, Oita , Japan a) v15e3014@oita-u.ac.jp 2. Matthew [4] Matthew SYN ACK SMTP The 1999 DARPA off-line intrusion detection evaluation [5] scan SSH Vykopal [6] Vykopal SSH SSH SSH SSH SSH SMTP SMTP SMTP SMTP AUTH SMTP AUTH SMTP spam IP [7] IP GeoIP[8]

3 Postfix spam SMTP AUTH 3. 2 SMTP MX SMTP (1) SMTP (2) SMTP AUTH MX SMTP (1)() TCP/25 TCP/587 TCP/465 3 SMTP AUTH TCP/25 SMTP AUTH 3 SMTP AUTH SMTP AUTH SMTP AUTH SASL(Simple Authentication and Security Layer) saslauthd saslauthd LDAP LDAP saslauthd /var/log/messages messages saslauthd did not issue MAIL/EXPN/VRFY/ETRN during connection to ( ) /var/log/maillog maillog SMTP SMTP AUTH saslauthd messages maillog SMTP AUTH messages 49,827 SMTP AUTH IP messages SMTP AUTH saslauthd: do auth: auth failure: [user=libserv] [service=smtp] [realm=oita-u.ac.jp] [mech=ldap] [reason=unknown] saslau- 1: PASSPIE thd IP maillog SMTP AUTH did not issue MAIL/EXPN/VRFY/ETRN during connection to ( ) SMTP AUTH SMTP AUTH 4. SMTP AUTH PASSPIE 3 SMTP AUTH SSH SCRAD SMTP AUTH 4.1 PASSPIE SMTP PASSPIE Prevention for password cracking Attack of Smtp authentication by Smtp Packet InspEction PASSPIE LAN tcpdump PASSIPIE tcpdump TCP/ IP SYN FIN PASSIPIE PASSIPIE 67

2: PASSPIE 5 PASSIPIE IPv4 IP 2 IP IP IPv4 32 IP IP IP SMTP IP 1 IP SMTP AUTH 2 PASSPIE pcap pcap 4.2 PASSPIE PASSPIE 3 ( 2) 4.2.1 IP TCP IP IP TCP 6 SMTP SMTP SYN SMTP scan SMTP 4.

4 2: PASSPIE 5 PASSIPIE IPv4 IP 2 IP IP IPv4 32 IP IP IP SMTP IP 1 IP SMTP AUTH 2 PASSPIE pcap pcap 4.2 PASSPIE PASSPIE 3 ( 2) IP TCP IP IP TCP 6 SMTP SMTP SYN SMTP scan SMTP ,000Byte 1,000Byte 1 IP IP PASSPIE IP IP IP TCP 5. SMTP AUTH SMTP PASSPIE TCP PASSPIE SMTP AUTH SMTP AUTH SMTP AUTH SYN FIN RST 68

図 3: 1 コネクションにおけるデータサイズの違い図 4: SMTP AUTH に失敗したコネクションにおけるデー 5.

(messages) とメールログ (maillog) を中継させる際の通信は認証メカニズムを交換したあとを別のプロセスにより出力するため SMTP AUTH に失ユーザが要求した認証メカニズムによりユーザを認証す敗した送信元 IP アドレスを直接調査することはできないるその後にメールを送受信するよって正規ユーザがそこで messages と maillog さらに

ユーザ認証に失敗すると TCP コネクション撃判定のためのしきい値は設定していないため約 1 日分は切断されるそのため正規ユーザの通信にあるメールの収集したパケットデータに含まれるすべてのコネクショの送受信は生じないよって攻撃者による 1 コネクションについて 4.2.

5 図 3: 1 コネクションにおけるデータサイズの違い図 4: SMTP AUTH に失敗したコネクションにおけるデー 5.1 SMTP コネクションにおいて送受信するデータサイタサイズズの傾向正規ユーザによる SMTP コネクションと攻撃者による本調査のためにまず SMTP AUTH に失敗した送信元 SMTP コネクションのデータサイズの傾向の違いを図 3 に IP アドレスを抽出する必要がある大分大学のメールサー示す外に移動した正規ユーザが SMTP サーバにメールバでは認証失敗ログ (messages) とメールログ (maillog) を中継させる際の通信は認証メカニズムを交換したあとを別のプロセスにより出力するため SMTP AUTH に失ユーザが要求した認証メカニズムによりユーザを認証す敗した送信元 IP アドレスを直接調査することはできないるその後にメールを送受信するよって正規ユーザがそこで messages と maillog さらに tcpdump により収集 1 コネクションあたりに送受信するデータサイズは大きくしたパケットデータを PASSPIE システムにより分析しなる傾向にある一方攻撃者と SMTP サーバの通信は得られたコネクションごとの情報の 3 つを照合することにパスワードクラッキング攻撃によって何度もユーザ認証をより調査した本調査で用いた PASSPIE システムでは攻繰り返すユーザ認証に失敗すると TCP コネクション撃判定のためのしきい値は設定していないため約 1 日分は切断されるそのため正規ユーザの通信にあるメールの収集したパケットデータに含まれるすべてのコネクショの送受信は生じないよって攻撃者による 1 コネクションについて項で述べたログ情報が得られるンあたりのデータサイズは小さくなる傾向にある messages における SMTP AUTH 失敗ログの出力時刻と maillog のメッセージを比較したところ SMTP 5.2 SMTP コネクションにおけるデータサイズの予備調査 AUTH に失敗した時刻とほぼ同時刻に maillog では did not issue MAIL/EXPN/VRFY/ETRN during connection 5.1 節で述べたように正規ユーザと攻撃者の SMTP コ to (宛先) メッセージが出力されているそこで maillog ネクションのデータサイズには傾向の違いがある本節における SMTP AUTH に失敗したと考えられるメッセーでは SMTP AUTH パスワードクラッキング攻撃を検知すジから抽出した送信元 IP アドレスと時刻を PASSPIE シるためのデータサイズのしきい値を決定するため攻撃者ステムの出力ログを照合し SMTP AUTH に失敗したとの SMTP コネクションで送受信するパケットのデータサ考えられるコネクションのデータサイズを調査したなイズ正規ユーザの SMTP コネクションで送受信するパおログ中の did not issue MAIL/EXPN/VRFY/ETRN ケットのデータサイズを調査した本調査における攻撃者 during connection to (宛先) メッセージは SMTP コネクと正規ユーザの分類はメールログにおいてメール送信ションを接続した状態で有効なコマンドの発行がないまに失敗したコネクションを攻撃者のコネクションメールまタイムアウト切断したときに出力されるため必ずしも送信に成功したコネクションを正規ユーザのコネクション SMTP AUTH の失敗が原因とは限らないしかし SMTP とした調査方法については以下の項で詳しく述べる AUTH に失敗した場合はこのメッセージとなる攻撃者のコネクションにおけるデータサイズの調査 maillog を照合した結果調査対象となるコネクション攻撃者のコネクションで送受信するデータサイズの最大は 1,130 件存在した調査結果について縦軸をデータ値を調査した 2016 年 5 月 26 日 19 時 14 分から 2016 年サイズ横軸を時刻としたグラフを図 4 に示す 1,130 件 5 月 27 日 18 時 03 分の約 1 日分の期間に図 1 の L3 スイッのうち 98%が含まれる 1,000Byte をしきい値として分チから tcpdump により収集したパケットデータを用いて類し分析した図 4 のグラフ中の赤線はデータサイズ 1 コネクションあたりの送信元と SMTP サーバの間で送受 1,000Byte を示している 1,130 件のコネクションのうち信されるデータサイズを調査した 14 件のコネクションがデータサイズ 1,000Byte を超えて c 69

2: PASSPIE SUCCESS 139,645 FAIL 65,563 6: 1: (Byte) 271 751,696,733 14 maillog SSL did not issue MAIL/EXPN/VRFY/ETRN during connection to ***( ) 1,000Byte 982Byte 1,000Byte SMTP 5.2.2 maillog 2016 5 1 0 0 0 5 16 1 4 4 1,000,000 5 ID size 6 1 6 1 1,000Byte 271Byte 1,000,000 664 1,000Byte 664 0.

6 2: PASSPIE SUCCESS 139,645 FAIL 65,563 6: 1: (Byte) ,696, maillog SSL did not issue MAIL/EXPN/VRFY/ETRN during connection to ***( ) 1,000Byte 982Byte 1,000Byte SMTP maillog ,000,000 5 ID size ,000Byte 271Byte 1,000, ,000Byte % 664 3: FAIL (A) 33,649 (B) 44,564 SMTP AUTH (C) 46,909 (D) 40,228 1,000Byte 1,000Byte ,000 FAIL FAIL 10 IP 6. PASSPIE SMTP PASSPIE F PASSPIE PASSPIE F PASSPIE 70

7 May 27 19:57:04 : u4rav4vw015199: from=<example@example.com>, size=10577, class=0, nrcpts=2, msgid=<05ed01d1b cd08d514670@example.com>, proto=esmtp, daemon=mtato, relay=smtp.example.com [SrcIPaddr] 5: maillog maillog messages PASSPIE PASSPIE IP messages maillog 3 IP SMTP AUTH messages do auth: auth failure: maillog SMTP AUTH IP PASSPIE IP FAIL redetect 3 F F F measure = P recision = D A + B = = Recall = D C = = P recision Recall P recision + Recall = F SMTP AUTH 1,000Byte : 418 FROM DNS 4, greylist 23, FROM oita-u.ac.jp FROM local FROM 1, MTA Black List FROM MX DNS MTA Black List 1, TO 10 User unknown FROM LDAP 4,287 F PASSPIE 3 (A+B)-D=37,985 PASSPIE IP maillog SMTP AUTH IP maillog 7 maillog IP 1 1,000Byte 3 SMTP AUTH 7 reject=452 SMTP AUTH IP

8 Aug 25 08:44:27 u7onik3b010049: size=3980,..., relay=mail.example.co.jp [srcip:a] Aug 25 08:44:27 u7onik3b010049: ruleset=check mail, relay=mail.example.co.jp [srcip:a], reject= src address forged 7: maillog 35,987 4 PASSPIE PASSPIE SMPT AUTH SMTP AUTH SMTP spam SMTP AUTH 1 PASSPIE SMTP AUTH 1 1,000Byte 1,000Byte 1,000Byte 10 IP F SMTP AUTH 1,000Byte SMTP PASSPIE SMTP AUTH 7.2 1,000Byte SSH SCRAD IP NULL PASSPIE IP Dynamic DNS [1] R. Siemborski and A. Melnikov. Smtp service extension for authentication, July RFC4954. [2]. smtp. Internet Infrastructure Review(online),, Vol.20,pp.28-31(2013), [3],,,. SSH. (DICOMO2015), [4] Matthew V. Mahoney. Network Traffic Anomaly Detection Based on Packet Bytes. In Proceedings of the 2003 ACM Symposium on Applied Computing, SAC 03, pp , New York, NY, USA, ACM. [5] Richard Lippmann, Joshua W Haines, David J Fried, Jonathan Korba, and Kumar Das. The 1999 {DARPA} off-line intrusion detection evaluation. Computer Networks, Vol. 34, No. 4, pp , Recent Advances in Intrusion Detection Systems. [6] J. Vykopal, T. Plesnik, and P. Minarik. Network-Based Dictionary Attack Detection 2009 International conference Future Networks. pp , Mar [7],,,,.. IOT, Vol. 2014, No. 9, pp. 1 6, feb [8] GeoIP. [9],,,. SSH. (DICOMO2013), pp ,

Microsoft Word - Win-Outlook.docx

Microsoft Word - Win-Outlook.docx Microsoft Office Outlook での設定方法 (IMAP および POP 編 ) How to set up with Microsoft Office Outlook (IMAP and POP) 0. 事前に https://office365.iii.kyushu-u.ac.jp/login からサインインし以下の手順で自分の基本アドレスをメモしておいてください Sign