يساعد تدفق المجال على خرق البيانات في الإخفاء

كان الربع الأول من هذا العام ممتلئًا بالقصص الإخبارية حول انتهاكات البيانات. كانت الأرقام مثيرة للقلق - 40 مليون أو أكثر من العملاء المستهدفين المتضررين ، على سبيل المثال. لكن مدة بعض الانتهاكات جاءت أيضًا بمثابة صدمة. كانت أنظمة نيمان ماركوس مفتوحة على مصراعيها لمدة ثلاثة أشهر ، ولم يتم اكتشاف خرق مايكل ، الذي بدأ في مايو 2013 ، حتى شهر يناير. لذلك ، هم رجال الأمن مجموع الرقائق؟ يشير تقرير حديث قدمه موفر استرداد التعافي Damballa إلى أن هذا ليس صحيحًا بالضرورة.

يشير التقرير إلى أن حجم التنبيهات ضخم ، ويستغرق الأمر عادةً محللًا بشريًا لتحديد ما إذا كان التنبيه يشير بالفعل إلى وجود جهاز مصاب أم لا. سيكون علاج كل حالة تأهب كعدوى أمرًا سخيفًا ، ولكن أخذ الوقت للتحليل يمنح الأشرار وقتًا للتصرف. والأسوأ من ذلك أنه بحلول اكتمال التحليل ، ربما تكون قد انتقلت العدوى. على وجه الخصوص ، قد يستخدم عنوان URL مختلفًا تمامًا للحصول على الإرشادات واستنباط البيانات.

تدفق المجال

ووفقًا للتقرير ، فإن دامبولا ترى ما يقرب من نصف إجمالي حركة مرور الإنترنت في أمريكا الشمالية وثلث حركة الاتصالات المتنقلة. هذا يعطيهم بعض البيانات الكبيرة حقا للعب معها. في الربع الأول ، قاموا بتسجيل الدخول إلى أكثر من 146 مليون نطاق مميز. حوالي 700000 من هؤلاء لم يسبق لهم مثيل من قبل ، وأكثر من نصف المجالات في تلك المجموعة لم يسبق رؤيتها مرة أخرى بعد اليوم الأول. مشبوهة كثيرا؟

يشير التقرير إلى أنه سيتم بسرعة اكتشاف قناة اتصال بسيطة بين جهاز مصاب ومجال تحكم وتحكم معين. للمساعدة في البقاء تحت الرادار ، يستخدم المهاجمون ما يسمى خوارزمية إنشاء المجال. يستخدم الجهاز المخترق والمهاجم "بذرة" متفق عليها لإضفاء الطابع العشوائي على الخوارزمية ، على سبيل المثال ، القصة العليا في موقع أخبار معين في وقت معين. عند إعطاء نفس البذرة ، ستنتج الخوارزمية نفس النتائج العشوائية الزائفة.

النتائج ، في هذه الحالة ، عبارة عن مجموعة من أسماء النطاقات العشوائية ، وربما 1000 منها. يقوم المهاجم بتسجيل واحد فقط من هذه ، في حين أن الجهاز المشاغب يحاول كل منهم. عندما يصل إلى اليمين ، يمكنه الحصول على إرشادات جديدة أو تحديث البرامج الضارة أو إرسال أسرار تجارية أو حتى الحصول على إرشادات جديدة حول البذور التي يجب استخدامها في المرة القادمة.

الحمل الزائد للمعلومات

يشير التقرير إلى أن "التنبيهات تشير فقط إلى السلوك الشاذ ، وليس دليلًا على الإصابة". يتلقى بعض عملاء Damballa ما يصل إلى 150،000 حدث تنبيه يوميًا. في أي مؤسسة يلزم فيها إجراء تحليل بشري لتمييز القمح عن القشر ، فهذه مجرد معلومات كثيرة للغاية.

تزداد الأمور سوءا. اكتشف باحثو Damballa ، في بيانات التعدين من قاعدة عملائها الخاصة ، أن "الشركات الكبيرة المشتتة عالمياً" تعاني في المتوسط ​​من 97 جهازًا يوميًا من الإصابات النشطة بالبرامج الضارة. تلك الأجهزة المصابة ، مجتمعة ، رفعت في المتوسط ​​10 غيغابايت كل يوم. ماذا كانوا يرسلون؟ قوائم العملاء ، والأسرار التجارية ، وخطط العمل - يمكن أن يكون أي شيء.

يدعي دامبولا أن الحل الوحيد هو القضاء على عنق الزجاجة البشري والقيام بتحليل آلي بالكامل. نظرًا لأن الشركة تقدم هذه الخدمة على وجه التحديد ، فإن الاستنتاج ليس مفاجئًا ، لكن هذا لا يعني أنه خطأ. يقتبس التقرير من استطلاع للرأي يقول إن 100 في المائة من عملاء دامبولا يتفقون على أن "أتمتة العمليات اليدوية هي مفتاح مواجهة التحديات الأمنية المستقبلية".

إذا كنت مسؤولاً عن أمان شبكة شركتك ، أو إذا كنت مسؤولاً عن إدارة سلسلة من المسؤولين ، فستحتاج بالتأكيد إلى قراءة التقرير الكامل. إنها وثيقة يمكن الوصول إليها ، وليس بلغة ثقيلة. إذا كنت مجرد مستهلك متوسط ​​، في المرة القادمة تسمع تقريرًا إخباريًا عن حدوث خرق للبيانات على الرغم من حدوث 60000 حالة تنبيه ، تذكر أن التنبيهات ليست عدوى ، وأن كل منها يتطلب تحليلًا. محللون الأمن فقط لا يمكن مجاراتها.