Kan malware alleen uit flowstatistieken worden gedetecteerd?

Vaak wel, omdat malware zich op bepaalde manieren moet gedragen om bruikbaar te zijn, en dat gedrag is in de flows te zien. Flowrecords beschrijven elke verbinding: bron en bestemming, poorten, starttijd, duur, en bytes en pakketten in elke richting. Een gecompromitteerd apparaat dat op vaste tijden contact opneemt met zijn besturingsserver, geeft een herkenbaar ritme, beaconing; een apparaat dat het netwerk verkent, raakt in korte tijd veel interne hosts en poorten, wat scannen en laterale beweging is; een apparaat dat gegevens steelt, verstuurt veel meer dan normaal, vaak 's nachts. Niets hiervan vraagt ontsleuteling, en onderzoek naar de analyse van versleuteld verkeer laat al jaren zien dat patronen in tijd en omvang veel informatie bevatten. De grenzen: één verbinding met een bekende clouddienst kan onschuldig lijken, en geduldige aanvallers proberen op te gaan in de massa. Daarom werkt flowanalyse het best tegen een basislijn van wat normaal is voor elk apparaat. NetSenX detecteert beaconing, scans, laterale beweging en ongewoon uitgaand datavolume op elk abonnement, ook Free.

← Alle 40 vragen over Versleuteling en versleuteld verkeerAlle onderwerpen