Si può rilevare un malware solo dalle statistiche di flusso?

Spesso sì, perché un malware deve comportarsi in certi modi per essere utile, e quel comportamento si vede nei flussi. I record di flusso descrivono ogni connessione: sorgente e destinazione, porte, ora di inizio, durata, byte e pacchetti in ciascuna direzione. Un dispositivo compromesso che contatta il proprio server di controllo a intervalli regolari produce un ritmo riconoscibile, il beaconing; uno che esplora la rete tocca molti host e porte interni in poco tempo, cioè scansione e movimento laterale; uno che ruba dati invia molto più del solito, spesso di notte. Nulla di questo richiede di decifrare, e la ricerca sull'analisi del traffico cifrato mostra da anni che gli schemi di tempo e dimensione portano molta informazione. I limiti: una singola connessione a un noto servizio cloud può sembrare innocua, e gli attaccanti pazienti cercano di confondersi. Per questo l'analisi dei flussi funziona meglio rispetto a una linea di base di ciò che è normale per ogni dispositivo. NetSenX rileva beaconing, scansioni, movimento laterale e volumi in uscita insoliti in ogni piano, anche Free.

← Tutte le 40 domande su Crittografia e traffico cifratoTutti i temi