Zespół Microsoft śledzi złośliwych użytkowników

Anonimowość w Internecie może być zarówno błogosławieństwem, jak i przekleństwem. Podczas gdy możliwość ukrywania się za anonimowymi serwerami proxy i szybko zmieniającymi się adresami protokołu internetowego (IP) umożliwiły swobodniejsze wypowiadanie się w krajach z represyjnymi reżimami, te same technologie pozwalają cyberprzestępcom ukrywać swoje ślady i przekazywać złośliwy kod i spam w celu legalnej komunikacji.

W referacie, który zostanie zaprezentowany w przyszłym tygodniu o SIGCOMM 2009 W Barcelonie w Hiszpanii trzech badaczy z centrum badawczego Microsoftu w Mountain View w Kalifornii demonstruje sposób na usunięcie tarczy anonimowości przed takimi mrocznymi napastnikami. Korzystając z nowego narzędzia programowego, trzej informatycy byli w stanie zidentyfikować maszyny odpowiedzialne za złośliwą aktywność, nawet jeśli adres IP hosta często się zmieniał.

To, do czego naprawdę staramy się dotrzeć, to gospodarz odpowiedzialny za atak, powiedział Yinglian Xie , członek zespołu Microsoft. Nie próbujemy śledzić tych identyfikatorów, ale powiązać je z konkretnym hostem.

Prototypowy system, nazwany HostTracker, może zapewnić lepszą ochronę przed atakami online i kampaniami spamowymi. Firmy ochroniarskie mogłyby na przykład stworzyć lepszy obraz tego, które hosty internetowe powinny być blokowane przed wysyłaniem ruchu do swoich klientów, a cyberprzestępcom trudniej byłoby zakamuflować swoje działania jako legalny ruch.

Xie i jej współpracownicy, Fang Yu i Martin Abadi, przeanalizowali miesięczne dane – 330 gigabajtów – zebrane od dużego dostawcy usług pocztowych, próbując ustalić, którzy użytkownicy są odpowiedzialni za wysyłanie spamu. Aby prześledzić pochodzenie wielu epidemii spamu, naukowcy przeanalizowali rekordy obejmujące ponad 550 milionów identyfikatorów użytkowników, 220 milionów adresów IP oraz znaczniki czasu dla zdarzeń, takich jak wysłanie wiadomości lub zalogowanie się na konto.

Śledzenie pochodzenia wiadomości — kluczowe zadanie śledzenia spamu i innych rodzajów ataków internetowych — obejmowało odtworzenie relacji między identyfikatorami kont a hostami, z których użytkownicy łączyli się z usługą poczty e-mail. Aby to zrobić, naukowcy zgrupowali wszystkie identyfikatory, do których uzyskano dostęp z różnych hostów w określonym czasie. Oprogramowanie HostTracker następnie przeczesało te dane, aby rozwiązać wszelkie konflikty. Na przykład czasami wydaje się, że więcej niż jeden użytkownik pochodzi z tego samego adresu IP lub jeden użytkownik miał wiele adresów identyfikacyjnych w nakładających się okresach czasu.

HostTracker rozwiązuje konflikty, odwołując się do danych, aby zidentyfikować serwery proxy, które pozwalają kilku hostom pojawiać się jako jeden adres IP, i określić, kiedy gość korzystał z legalnego hosta. Fakt, że jesteśmy w stanie prześledzić złośliwy ruch do samego serwera proxy, jest ulepszeniem, ponieważ jesteśmy w stanie wskazać dokładne pochodzenie, mówi Xie.

Naukowcy stworzyli również sposób na automatyczne umieszczanie na czarnej liście ruchu z określonego adresu IP, gdy system HostTracker ustali, że host pod tym adresem jest zagrożony. Korzystając z tej metody w symulacji, naukowcy byli w stanie zablokować złośliwy ruch ze wskaźnikiem błędów wynoszącym pięć procent – ​​innymi słowy, 5 na 100 adresów IP sklasyfikowanych jako złośliwe było w rzeczywistości legalnych. Korzystanie z dodatkowych informacji w celu zidentyfikowania dobrego zachowania użytkownika obniżyło odsetek wyników fałszywie dodatnich do mniej niż jednego procenta.

Wyniki sugerują, że HostTracker byłby dobrym sposobem na udoskonalenie obecnego sposobu obrony przed rozproszonymi atakami typu „odmowa usługi” i kampaniami spamowymi – mówi Gunter Ollmann, wiceprezes ds. badań i rozwoju w firmie Damballa , firma, która pomaga firmom znajdować i eliminować zhakowane hosty w sieci komputerowej.

Korzystanie z tej techniki pomoże znaleźć botnety o dużej częstotliwości ruchu, takie jak kampanie spamowe, ataki DDoS i być może ataki typu click-through, mówi Ollmann. Inne ataki, takie jak kradzież haseł i trojany bankowe, w których atak jest bardziej skoncentrowany na hoście – tego rodzaju technika nie byłaby tak skuteczna.

Xie przyznaje, że chociaż technika ta jest przydatna do tworzenia list hostów do śledzenia, może być mniej przydatna dla organów ścigania próbujących zidentyfikować napastników stojących za przestępczością internetową. Odpowiedzialność, o której mówimy, nie jest odpowiedzialnością sądową, mówi. Chcemy oddzielić te dwa pojęcia. Odpowiedzialność, o której mówimy, to umiejętność identyfikacji gospodarzy.

ukryć