HoneyCon 2014 in Taiwan

1. HoneyCon 2014
Ted

2. Introduction
• The Honeynet Project成⽴立於 1999年，是⼀一個集合國際間
資安研發能量的⾮非營利性組織，以技術導向領先的國際安
全研究機構，專⾨門調查最新的攻擊和開發開源的安全⼯工具，
以提⾼高網際網路的安全。
• ⺫⽬目前全世界有超過46個分會，集合資安領域之能量，發展
資訊安全⼯工具、惡意程式分析以及最新的資訊安全威脅研
究，希望提供各國企業以及政府機構需要的資訊安全⼯工具，
透過技術與經驗的分享，掌握最新的攻擊和威脅，並投⼊入
資訊安全教育⼯工作，以提昇資訊安全認知，The Honeynet
Chapter發揮了打擊惡意程式以及駭客攻擊的重要⾓角⾊色。

3. Honeypot(蜜罐)
• 獨⽴立的網路
• 陷阱
• 掃描與蒐集攻擊⾏行為
• 不能被攻擊者察覺
• 容易建置
• 減緩攻擊的⼀一種⽅方式
• high-interaction honeypots
• low-interaction honeypots

4. Honeynet(誘捕網路)
• 由許多 honeypot 建置⽽而成
• 針對攻擊的網路流量以及惡意散播的程式進⾏行收
集與分析
• 進⾏行攻擊⾏行為與特徵的⽐比對加上資訊分析
• 了解攻擊⾏行為的模式以建⽴立防禦機制

5. Topic
• 臺灣資訊安全威脅介紹
• 進階威脅防護(Advanced Threat Protection)
• Discovery the Attack Clues by Visualization Tools
• Malware的威脅防禦與軌跡追蹤
• 是⼿手機還是⾏行動⼊入侵裝置？
• A bash honeypot for mass deployment
• 巨量攻擊浪潮下的新DNS防護策略
• Spam and Honeypot
• Botnet 101

6. 臺灣資訊安全威脅介紹
• ATM 提款機叫出 XP ⼯工作列
• 網路 ATM
• APT 攻擊
• 加殼轉成 rar 再加密碼
• ico 偽裝病毒
• 智慧家電 / 智慧聯網時代，萬物皆可駭
• 俄羅斯駭客服務
• DDoS
• DNS amplification attack

7. 進階威脅防護(Advanced Threat Protection)
• hack tool 的普及
• cloud update + sandbox
• 組合式病毒

8. Malware的威脅防禦與軌跡追蹤
• 持續分析
• 觀察攻擊
• 分析攻擊⾏行為
• 追蹤問題檔案與來源
• 清除威脅
• 建⿊黑名單

9. ARP 攻擊
• IP + MAC + data
• ARP table(IP + MAC)
Internet
Computer A
Attacker
Computer B
原本 封包[IP(C) + MAC(C)]
ARP 欺騙 封包[IP(C) + MAC(A)]
Computer C

10. 中間⼈人攻擊(Man-in-the-middle attack, MITM)

11. 進階持續性滲透攻擊 (Advanced Persistent Threat, APT)
• 針對特定組織所作的複雜且多⽅方位的網路攻擊
• 鎖定特定⺫⽬目標
• 假冒信件
• 低調且緩慢
• 客製化惡意元件
• 安裝遠端控制⼯工具
• 傳送情資

12. 是⼿手機還是⾏行動⼊入侵裝置？
• QR code injection
• OWASP Top 10
• dropbox is a safety virus storage
• device = new virusStorage()
• url + SQL injection
• QR code + 亂數產⽣生器

13. 是⼿手機還是⾏行動⼊入侵裝置？
• mobile ARP
• ssl strip
• mobile device DDoS
• android(root) -> attack -> iOS
• iOS(JB) -> attack -> android

14. A bash honeypot for mass deployment
• bash shell build honeypot
• live CD deployment
• use easy
• shell script 模擬 response
• deny hack common
• 提供簡單的 username password 引去 honeypot
• 換 shell, apt-get, wget

15. 巨量攻擊浪潮下的新DNS防護策略
• DDoS and DNS
• dig ns <url>
• DNS Amplification Attacks
• dig ANY <domain>@<DNS>
• monitoring query rate
• detected pick alert
• anycast
• response policy zone

16. Botnet 101
• 駭客⾏行動主義(hacktivism)
• 2012 up
• APT
• DDoS
• DNS
• 300G -> 20 computers
• digital attack map

17. Refer
• HoneyCon 2014
• 深⼊入淺出Honeynet技術
• Honeypot (computing) - Wiki
• DNS 放⼤大攻擊(DNS Amplification Attacks)
• Zone Transfer CVE-1999-0532 - 古⽼老的 DNS 資安議題
• 中間⼈人攻擊
• ARP欺騙
• 進階持續性滲透攻擊 (Advanced Persistent Threat, APT)