Peut-on détecter un logiciel malveillant à partir des seules statistiques de flux ?

Souvent, oui, car un logiciel malveillant doit se comporter d'une certaine façon pour être utile, et ce comportement se voit dans les flux. Les enregistrements de flux décrivent chaque connexion : source et destination, ports, heure de début, durée, octets et paquets dans chaque sens. Un appareil compromis qui contacte son serveur de contrôle à intervalles réguliers produit un rythme reconnaissable, le beaconing ; un appareil qui explore le réseau touche beaucoup d'hôtes et de ports internes en peu de temps, ce qui correspond au balayage et aux mouvements latéraux ; un appareil qui vole des données envoie bien plus que d'habitude, souvent la nuit. Rien de cela ne nécessite de déchiffrement, et la recherche sur l'analyse du trafic chiffré montre depuis des années que les motifs de temps et de taille portent beaucoup d'information. Les limites : une connexion isolée vers un service cloud connu peut sembler anodine, et les attaquants patients cherchent à se fondre dans la masse. C'est pourquoi l'analyse de flux fonctionne mieux par rapport à une référence de ce qui est normal pour chaque appareil. NetSenX détecte le beaconing, les balayages, les mouvements latéraux et les volumes sortants inhabituels dans chaque offre, y compris Free.

← Les 40 questions sur Chiffrement et trafic chiffréTous les thèmes