In Cato abbiamo affrontato un problema simile nella protezione delle reti dei nostri clienti. Per risolverlo, abbiamo sviluppato un nuovo approccio. <\/span>Si tratta di una metodologia multidimensionale implementata nella nostra strategia di sicurezza come servizio<\/a>, che identifica il 72% in pi\u00f9 di eventi dannosi rispetto a quanto sarebbe stato possibile utilizzando solo feed open source o regole della community.<\/p>\n\n\n\n La parte migliore \u00e8 che puoi implementare una strategia simile sulla tua rete. I tuoi strumenti saranno lo \u201cstock-and-trade\u201d di qualsiasi ingegnere di rete: accesso alla rete, un metodo per gestire il traffico, sensore tipo al tocco e spazio su disco sufficiente per archiviare i pacchetti di una settimana. Ecco come analizzare queste acquisizioni di pacchetti per proteggere la rete al meglio.<\/p>\n\n\n\n Come ho detto, usiamo un approccio multidimensionale. Sebbene nessuna variabile sia in grado di identificare con precisione i bot dannosi, le informazioni aggregate derivanti dalla valutazione di pi\u00f9 vettori ci aiuter\u00e0 a farlo. <\/span>L’idea \u00e8 di restringere gradualmente il campo dalle sessioni generate dalle persone a ci\u00f2 che potrebbe indicare un rischio per la rete.<\/p>\n\n\n\n Il nostro processo \u00e8 semplice:<\/p>\n\n\n\n Approfondiamo ciascuno di questi passaggi.<\/p>\n\n\n\n I bot di tutti i tipi tendono a comunicare continuamente con i loro obiettivi. Ci\u00f2 succede perch\u00e9 devono ricevere comandi, inviare segnali \u201ckeep-alive\u201d o esfiltrare dati. Un primo passo per distinguere tra bot e persone \u00e8 identificare le macchine che comunicano ripetutamente con un target,<\/p>\n\n\n\n perch\u00e9 \u00e8 ci\u00f2 che vuoi scoprire: gli host che comunicano con molti target periodicamente e continuamente. Nella nostra esperienza, una settimana di traffico \u00e8 sufficiente per determinare la natura delle comunicazioni client-target.<\/span> Statisticamente, pi\u00f9 uniformi saranno queste comunicazioni, maggiore \u00e8 la possibilit\u00e0 che siano generate da un bot (vedi Figura 1).<\/p>\n\n\n\n Sapere semplicemente che un bot esiste solo su una macchina non aiuter\u00e0 molto: come abbiamo detto, la maggior parte dei dispositivi genera traffico bot. Per questo, \u00e8 necessario esaminare il tipo di client che comunica sulla rete. In genere, i bot “buoni” esistono all’interno dei browser mentre i “cattivi” operano al di fuori di essi.<\/p>\n\n\n\n I sistemi operativi hanno diversi tipi di client e librerie che generano traffico. Ad esempio, “Chrome”, “WinInet” e “Java Runtime Environment” sono tutti tipi di client diversi. All’inizio, il traffico che generano pu\u00f2 sembrare lo stesso, ma ci sono alcuni modi per distinguere tra i client e arricchire il nostro contesto.<\/p>\n\n\n\n Inizia esaminando le intestazioni a livello di applicazione. Dato che la maggior parte delle configurazioni dei firewall consente di usare HTTP e TLS in qualsiasi indirizzo, molti bot sfruttano questi protocolli per comunicare con i loro target. \u00c8 possibile identificare i bot che operano all’esterno dei browser identificando gruppi di funzionalit\u00e0 HTTP e TLS configurate dal client.<\/span><\/p>\n\n\n\n Ogni sessione HTTP ha un set di intestazioni di richiesta che la definiscono e stabiliscono il modo in cui il server deve gestirla. Queste intestazioni, il loro ordine e i relativi valori vengono impostati durante la composizione della richiesta HTTP (vedi Figura 2). Allo stesso modo, gli attributi di sessione TLS, come suite di crittografia, elenco delle estensioni, ALPN (Application-Layer Protocol Negotiation) e curve ellittiche, sono stabiliti nel pacchetto TLS iniziale, detto “client hello”, che non \u00e8 crittografato. Il clustering delle diverse sequenze di attributi HTTP e TLS indicher\u00e0 probabilmente bot diversi.<\/p>\n\n\n\n In questo modo, ad esempio, ti consentir\u00e0 di individuare il traffico TLS con diverse suite di crittografia. \u00c8 un buon indicatore che il traffico si genera al di fuori del browser – un approccio davvero diverso da quello umano e, quindi, un buon indicatore del traffico bot.<\/p>\n\n\n\n Un altro metodo per identificare i bot dannosi consiste nell’esaminare informazioni specifiche contenute nelle intestazioni HTTP.<\/span> I browser Internet di solito hanno un’immagine di intestazione chiara e standard. In una normale sessione di navigazione, cliccando su un collegamento all’interno di un browser si generer\u00e0 un’intestazione “referrer” che verr\u00e0 inclusa nella successiva richiesta per quell’URL. Il traffico bot di solito non ha un’intestazione “referrer” o, peggio, \u00e8 falsificato. Identificare i bot che hanno lo stesso aspetto in ogni flusso di traffico probabilmente \u00e8 un indice della relativa dannosit\u00e0.<\/p>\n\n\n\n \u201cUser-agent\u201d \u00e8 la stringa pi\u00f9 nota, che rappresenta il programma che avvia una richiesta. Varie fonti, ad esempio, fingerbank.org, corrispondono ai valori agente utente con le versioni note del programma. L’utilizzo di queste informazioni pu\u00f2 aiutare a identificare bot anomali.<\/span> Ad esempio, i browser pi\u00f9 recenti utilizzano la stringa “Mozilla 5.0” nel campo \u201cuser-agent\u201d. Trovare una versione precedente di Mozilla o la sua completa assenza indica una stringa agente utente bot anomala. Nessun browser affidabile creer\u00e0 traffico senza un valore \u201cuser-agent\u201d.<\/p>\n\n\n\n Detto questo, non vogliamo limitare la nostra ricerca dei bot solo ai protocolli HTTP e TLS. Questo si pu\u00f2 fare guardando oltre a detti protocolli. Ad esempio il protocollo IRC, in cui i bot IRC hanno avuto un ruolo nell’attivit\u00e0 delle botnet dannose. Abbiamo anche osservato campioni di malware noti che utilizzano protocolli sconosciuti proprietari su porte note, che si potrebbero contrassegnare utilizzando l’identificazione dell’applicazione.<\/p>\n\n\n\n Inoltre, la direzione del traffico (in entrata o in uscita) ha un valore significativo in questo caso.<\/span> Fino ad ora abbiamo cercato indicatori sui bot usando la frequenza delle comunicazioni client-server e nel tipo di client. Ora, proviamo un’altra dimensione: la destinazione o l’obiettivo. Per determinare i target dannosi, si possono considerare due fattori: reputazione e popolarit\u00e0.<\/span><\/p>\n\n\n\n La reputazione del target calcola la probabilit\u00e0 che un dominio sia dannoso in base all’esperienza raccolta da molti flussi. La reputazione \u00e8 determinata da servizi di terze parti o attraverso un calcolo eseguito in autonomia, che tiene nota di ogni volta che gli utenti segnalano un obiettivo come dannoso.<\/p>\n\n\n\n Molto spesso, tuttavia, le fonti pi\u00f9 semplici necessarie a determinare la reputazione dei target, come i feed di reputazione URL, da sole non sono sufficienti. Ogni mese vengono registrati milioni di nuovi domini. Con cos\u00ec tanti nuovi domini, i meccanismi basati sulla relativa reputazione mancano di un contesto sufficiente per classificarli correttamente, offrendo un alto tasso di falsi positivi.<\/p>\n\n\n\n Mettiamo insieme tutto ci\u00f2 che abbiamo imparato per identificare le sessioni come segue:<\/span><\/p>\n\n\n\n \u00c8 possibile utilizzare una combinazione di questi metodi per individuare vari tipi di minacce sulla rete. Diamo un’occhiata a un esempio: come rilevare il bot Andromeda. Andromeda \u00e8 un downloader molto comune per altri tipi di malware. Identifichiamo Andromeda analizzando i dati seguendo quattro dei cinque approcci che abbiamo discusso.<\/p>\n\n\n\n Abbiamo notato la comunicazione con “disorderstatus[.]ru” che \u00e8 un dominio identificato come dannoso da diversi servizi di reputazione<\/a>. Le categorie legate al sito tratte da varie fonti sembrano essere: “fonte di infezione nota; reti di bot”. Tuttavia, come abbiamo notato, questo fattore da solo non \u00e8 sufficiente in quanto non indica se l’host specifico \u00e8 stato infettato da Andromeda; un utente potrebbe aver navigato su quel sito. Inoltre, come detto, il tuo URL verr\u00e0 classificato come “sconosciuto” o “non dannoso”.<\/p>\n\n\n\n Su diecimila utenti, solo la macchina di un utente comunica con questo target: \u00e8 molto insolito. Ci\u00f2 conferisce al target un punteggio di popolarit\u00e0 basso.<\/span><\/p>\n\n\n\n Nell’arco di una settimana abbiamo visto un traffico continuo per tre giorni tra il client e il target. La comunicazione ripetitiva \u00e8 di nuovo un altro indicatore di un bot.<\/span><\/p>\n\n\n\n Lo user-agent richiedente \u00e8 “Mozilla\/4.0”, un browser attuale, ma non valido, che indica che si tratta probabilmente di un bot.<\/p>\n\n\n\n Il rilevamento dei bot su reti IP non \u00e8 un compito facile, ma sta diventando una parte fondamentale delle pratiche di sicurezza di rete<\/a> e della caccia ai malware in particolare. Combinando le cinque tecniche che abbiamo presentato qui, si possono rilevare i bot dannosi in modo pi\u00f9 efficiente.<\/p>\n\n\n\n Segui i link per saperne di pi\u00f9 sui nostri servizi di sicurezza<\/a>, sul servizio Cato Managed Threat Detection and Response<\/a> e sulla piattaforma SASE<\/a>.<\/p>\n\n\n\n<\/br>\nI cinque vettori per identificare il traffico di bot dannosi<\/h2>\n\n\n\n
\n
Discriminare i bot dalle persone misurando la frequenza di comunicazione<\/h3>\n\n\n\n
![\"Grafico](\"https:\/\/www.catonetworks.com\/wp-content\/uploads\/2021\/11\/frequency-graph1.png\")
Unisciti alla nostra Masterclass sulla sicurezza informatica, che spazia dalla disinformazione ai deepfake<\/strong><\/a><\/h5>\n\n\n\n
<\/h3>\n\n\n\n
Distinguere tra browser e altri client<\/h3>\n\n\n\n
![\"sequenza](\"https:\/\/www.catonetworks.com\/wp-content\/uploads\/2021\/11\/sequence-of-packet-headers.png\")
Individuare i bot all’interno dei browser<\/h3>\n\n\n\n
![\"utilizzo](\"https:\/\/www.catonetworks.com\/wp-content\/uploads\/2021\/11\/referrer-header-usage.png\")
Analizzare il carico utile<\/h3>\n\n\n\n
I dispositivi connessi direttamente a Internet sono costantemente esposti alle attivit\u00e0 di scansione e, pertanto, si potrebbe individuare questi bot tra gli scanner in entrata. D’altra parte, l’attivit\u00e0 di scansione in uscita indica un dispositivo infettato da un bot con funzioni di scansione. Ci\u00f2 potrebbe essere dannoso per la destinazione sottoposta a scansione e mettere a rischio la reputazione dell’indirizzo IP dell’organizzazione. Il grafico sottostante mostra i picchi dei flussi di traffico in un breve lasso di tempo. Ci\u00f2 potrebbe indicare l’attivit\u00e0 di bot con funzioni di scansione. Si pu\u00f2 analizzare questo comportamento sfruttando il calcolo flussi\/secondo.<\/p>\n\n\n\n![\"Operazione](\"https:\/\/www.catonetworks.com\/wp-content\/uploads\/2021\/11\/frequency-outbound-scanning-operation1.png\")
Analisi del target: Conosci le tue destinazioni<\/h3>\n\n\n\n
Facciamo una sintesi<\/h2>\n\n\n\n
\n
Esercizio: sotto lo scudo di rete del malware Andromeda<\/h2>\n\n\n\n
Reputazione dei target<\/h3>\n\n\n\n
Popolarit\u00e0 dei target<\/h3>\n\n\n\n
Frequenza di comunicazione<\/h3>\n\n\n\n
![\"Comunicazione](\"https:\/\/www.catonetworks.com\/wp-content\/uploads\/2021\/11\/Client-target-communication1.png\")
Analisi dell’intestazione<\/h3>\n\n\n\n
![\"Immagine](\"https:\/\/www.catonetworks.com\/wp-content\/uploads\/2021\/11\/HTTP-header-image.png\")
Sintesi<\/h2>\n\n\n\n