Исследователи нашли способ определять автоматически сгенерированные домены

Николай Головко 06 Ноября 2010 - 06:49

...

Ряд работающих в Сети ботнетов использует автоматически сгенерированные доменные имена серверов управления. Американским специалистам удалось обнаружить способ детектирования подобных имен; по их мнению, он пригодится системным администраторам в качестве системы раннего предупреждения об инфекции.

Ботнеты Conficker, Kraken, Torpig относятся к числу тех, которые применяют метод т.н. 'текучести доменных имен' для защиты своих управляющих элементов от экспертов по безопасности. Вредоносная сеть такого типа генерирует множество случайных доменов в соответствии с некоторым алгоритмом; эти домены используются для связи клиентов с командными центрами ботнета. Если вы хотите прекратить деятельность такой сети, вам потребуется захватить управление всеми этими доменными именами, что довольно сложно.

Однако исследователи уверены, что, поскольку имена наподобие joftvvtvmx.org, ejfjyd.mooo.com или mnkzof.dyndns.org созданы по определенному алгоритму, то их можно успешно определять и отличать от других, легитимных доменов. Если пропускать через такой детектор весь DNS-трафик, идущий наружу из ЛВС предприятия, то можно быстро и эффективно определить наличие инфекции в сети.

"Таким образом, предложенный нами метод может выявлять присутствие ботнет-клиентов; администратор ЛВС будет способен прервать связь между рабочими станциями и контрольными серверами ботнета посредством отфильтровывания DNS-запросов на разрешение алгоритмически сгенерированных доменных имен", - говорится в работе, представленной на конференции ACM Internet Measurement Conference в Австралии.

Указанный метод задействует некоторые приемы из теории обнаружения сигналов и статистического самообучения; с его помощью можно детектировать имена, алгоритмы создания которых основаны на псевдослучайных последовательностях, словарных единицах и ложных словах. Сообщается, что на выборке из 500 доменных имен был достигнут стопроцентный уровень выявления без ложных срабатываний; при объеме выборки в 50 доменов также были успешно обнаружены все автоматически сгенерированные имена, однако количество "ложных тревог" составило 15%.

The Register

Следующая главная новость »

Подписывайтесь на канал "AM Live" в Telegram, чтобы первыми узнавать о главных событиях и предстоящих мероприятиях по информационной безопасности.

Татьяна Никитина 19 Июня 2025 - 09:02

Соответствие законодательству РФ Общее Защита критически важных объектов Соответствие требованиям регуляторов

ФСТЭК России огласила новые требования по защите ИС госструктур

Опубликованы обновленные ФСТЭК России нормативы по защите информации для госорганов и контролируемых государством учреждений, которые начнут действовать с 1 марта 2026 года.

Приказ регулятора № 117 от 11.04.2025 об утверждении требований по защите информации издан взамен аналогичного и пока актуального распоряжения № 17 от 11.02.2013.

В документе особо отмечено, что аттестаты соответствия на ГИС и иные ИС, выданные до вступления в силу новых норм, будут считаться действительными.

В нем также определена основная цель защиты информации в госструктурах — предотвращение событий, приводящих к негативным последствиям (угроза жизни / здоровью, утечка персональных данных, нарушение функционирования АСУ, материальный ущерб, потеря конкурентного преимущества и т. п.).

Для этого оператору следует прежде всего определить такие события, соответствующие угрозы, а также системы и средства, воздействие на которые может привести к негативным последствиям.

Согласно новым требованиям, подразделения ИБ должны как минимум на 30% состоять из сотрудников с профильным образованием либо прошедших соответствующую переподготовку.

Много внимания в приказе уделено работе с подрядчиками. В частности, для них рекомендуется разработать политику ИБ и вменить им в обязанность следовать таким указаниям.

Стоит также отметить следующие требования:

проведение мониторинга ИБ в соответствии с ГОСТ Р 59547-2021, с передачей ФСТЭК годовых отчетов о результатах;
проведение проверок защищенности (дважды в год или чаще) и уровня зрелости (ежегодно) по методикам ФСТЭК;
передача регулятору данных о новых уязвимостях (в течение пяти рабочих дней);
сокращение сроков устранения уязвимостей (критические — 24 часа, высокой степени опасности — 7 календарных дней);
обязательный контроль установки обновлений;
привилегированный доступ — только со строгой аутентификацией или усиленной MFA, а также с регистрацией таких попыток;
обязательное использование EDR.

Пользоваться личными мобильными устройствами разрешено, но с соблюдением требований по защите и под контролем. Предусмотрена возможность удаленного доступа с личных устройств (в пределах России) при наличии адекватной защиты: специализированных средств обеспечения безопасности, антивируса, аутентификации с использованием криптографии и т. п.

Примечательны также требования в отношении ИИ: в случае использования таких технологий оператор должен обеспечить защиту от утечек, злоупотреблений через атаку на ИИ-модель и соблюдать регламент взаимодействия с ИИ-сервисами — по разработанным шаблонам либо без них, но с ограничением тематики.

Поскольку ИИ может совершать ошибки, оператору надлежит принять меры по их выявлению и ограничить участие такого помощника в принятии решений.