Οι εμπειρογνώμονες ασφαλείας απεικονίζουν τα Botnets με το μάτι προς την άμυνα

Δεν είναι όλα τα botnets οργανωμένα με τον ίδιο τρόπο. Αυτό είναι το συμπέρασμα μιας έκθεσης της Damballa η οποία επιδιώκει να κατηγοριοποιήσει τις κυρίαρχες δομές. Προσπαθεί να εξηγήσει γιατί ορισμένοι τύποι μπλοκαρίσματος και φιλτραρίσματος θα λειτουργήσουν εναντίον ορισμένων botnet και όχι για άλλους.

"Το" υβριδικό "banner απειλών συχνά λέγεται" λέει ο Gunter Ollmann, VP της Research, Damballa, μια επιχείρηση η οποία εξειδικεύεται στον μετριασμό του botnet "Αλλά αυτή η ετικέτα δεν σημαίνει τίποτα στις ομάδες που έχουν την εντολή να υπερασπίζονται την επιχείρηση."

Η δομή του Star είναι η πιο βασική και προσφέρει σε μεμονωμένους bots άμεση επικοινωνία με τον εξυπηρετητή Command and Control (CnC). Μπορεί να απεικονιστεί σε ένα αστεροειδές μοτίβο. Ωστόσο, παρέχοντας άμεση επικοινωνία με ένα διακομιστή CnC, το botnet δημιουργεί ένα μόνο σημείο αποτυχίας. Αφαιρέστε το διακομιστή CnC και το botnet λήγει. Ollmann λέει ότι το κιτ του bot Zeus DIY, έξω από το κιβώτιο, είναι ένα μοτίβο αστέρι, αλλά ότι οι botmasters αναβαθμίζουν συχνά, καθιστώντας το πολλαπλό.

"Στις περισσότερες περιπτώσεις, τα συγκεκριμένα botnets μπορούν να ταξινομηθούν ως μέλη μιας μόνο τοπολογίας CnC- -όμως είναι συχνά κάτω από το master botnet που επιλέγει. "

Ο Multi-Server είναι η λογική επέκταση της δομής Star χρησιμοποιώντας πολλαπλούς διακομιστές CnC για να τροφοδοτούν τις οδηγίες με τα επιμέρους bots. Αυτός ο σχεδιασμός, λέει ο Ollmann, προσφέρει ελαστικότητα σε περίπτωση που κάποιος διακομιστής CnC πέσει κάτω. Απαιτεί επίσης πολύπλοκο σχεδιασμό για να εκτελεστεί. Το Srizbi είναι ένα κλασικό παράδειγμα ενός botnet με τοπολογία CnC topology.

Η ιεραρχική δομή του botnet είναι εξαιρετικά συγκεντρωμένη και συχνά συνδέεται με botnets πολλαπλών σταδίων - για παράδειγμα botnets οι οποίοι είναι οι bot agents που έχουν δυνατότητες διάδοσης σκουληκιών - και χρησιμοποιούν super -ονός-ομότιμος CnC. Αυτό σημαίνει ότι κανένα bot δεν γνωρίζει τη θέση οποιουδήποτε άλλου bots, γεγονός που συχνά καθιστά δύσκολο για τους ερευνητές ασφαλείας να διαχειρίζονται το συνολικό μέγεθος του botnet. Αυτή η δομή, λέει η Damballa, είναι η πλέον κατάλληλη για τη μίσθωση ή την πώληση τμημάτων του botnet σε άλλους. Το μειονέκτημα είναι ότι οι οδηγίες χρειάζονται περισσότερο χρόνο για να επιτευχθούν οι στόχοι τους, έτσι ώστε να είναι αδύνατο να συντονιστούν ορισμένα είδη επιθέσεων.

Τυχαία είναι η αντίθετη πλευρά της Ιεραρχικής δομής. Αυτό το botnet είναι αποκεντρωμένο και χρησιμοποιεί πολλαπλές διαδρομές επικοινωνίας. Το μειονέκτημα είναι ότι κάθε bot μπορεί να απαριθμήσει άλλους στη γειτονιά και συχνά η επικοινωνία καθυστερεί μεταξύ ομάδων bots, καθιστώντας και πάλι κάποιες επιθέσεις αδύνατες να συντονιστούν. Η καταιγίδα θα ταιριάζει με το Τυχαίο μοντέλο της Damballa, όπως και τα botnets που βασίζονται στο κακόβουλο λογισμικό Conficker

Η αναφορά Botinet Communication Topologies: Κατανοώντας τις περιπλοκές του botnet Command-and-Control, κατατάσσονται επίσης διαφορετικές μέθοδοι γρήγορης ροής, server αλλάζει τα πεδία του. Η Damballa διαπίστωσε ότι το Domain Flux, μια διαδικασία που αλλάζει και κατανέμει πολλαπλά ονόματα πλήρους επαγγελματικού τίτλου σε μια ενιαία διεύθυνση IP ή μια υποδομή CnC, είναι η πιο ανθεκτική στην ανακάλυψη και τον μετριασμό.

Ο Robert Vamosi είναι αναλυτής κινδύνου, απάτης και ασφάλειας για Javelin Strategy & Research και έναν ανεξάρτητο συγγραφέα ασφαλείας υπολογιστών που καλύπτει εγκληματίες χάκερ και απειλές κακόβουλου λογισμικού.