¿Se puede detectar malware solo con estadísticas de flujo?

A menudo sí, porque el malware tiene que comportarse de cierta manera para ser útil, y ese comportamiento se ve en los flujos. Los registros de flujo describen cada conexión: origen y destino, puertos, hora de inicio, duración, y bytes y paquetes en cada sentido. Un equipo comprometido que contacta con su servidor de control a intervalos regulares produce un ritmo reconocible, el beaconing; uno que explora la red toca muchos equipos y puertos internos en poco tiempo, que es escaneo y movimiento lateral; uno que roba datos envía mucho más de lo normal, a menudo de noche. Nada de esto requiere descifrar, y la investigación sobre análisis de tráfico cifrado lleva años mostrando que los patrones de tiempo y tamaño contienen mucha información. Los límites: una sola conexión a un servicio en la nube conocido puede parecer inocente, y los atacantes pacientes intentan pasar desapercibidos. Por eso el análisis de flujos funciona mejor frente a una referencia de lo que es normal para cada equipo. NetSenX detecta beaconing, escaneos, movimiento lateral y volumen saliente inusual en todos los planes, incluido Free.

← Las 40 preguntas sobre Cifrado y tráfico cifradoTodos los temas