Czy złośliwe oprogramowanie da się wykryć z samych statystyk przepływów?

Często tak, bo malware, żeby był użyteczny, musi zachowywać się w określony sposób, a to zachowanie widać w przepływach. Rekordy przepływów opisują każde połączenie: źródło i cel, porty, czas rozpoczęcia, czas trwania oraz bajty i pakiety w każdym kierunku. Przejęte urządzenie, które w regularnych odstępach melduje się u swojego serwera sterującego, tworzy rozpoznawalny rytm, czyli beaconing; takie, które poznaje sieć, w krótkim czasie dotyka wielu hostów i portów wewnętrznych, co jest skanowaniem i ruchem lateralnym; takie, które kradnie dane, wysyła znacznie więcej niż zwykle, często w nocy. Nic z tego nie wymaga deszyfrowania, a badania nad analizą ruchu szyfrowanego od lat pokazują, że wzorce czasu i rozmiaru niosą wiele informacji. Ograniczenia: pojedyncze połączenie ze znaną usługą chmurową może wyglądać niewinnie, a cierpliwi napastnicy starają się wtopić w tło. Dlatego analiza przepływów działa najlepiej na tle tego, co normalne dla każdego urządzenia. NetSenX wykrywa beaconing, skanowanie, ruch lateralny i nietypową ilość danych wychodzących w każdym planie, także Free.

← Wszystkie pytania (40): Szyfrowanie i ruch szyfrowanyWszystkie tematy