etreiber von Graurouten liefern sich seit Jahren einen Wettlauf mit Firewall-Anbietern. Hier ist ein typisches Umgehungskonzept, das wir bei einem Betreiber im Nahen Osten und Nordafrika beobachtet haben – und wie die Firewall jeden einzelnen Schritt aufgedeckt hat.
Schritt 1 – Rotation der Absender-ID
Ein Angreifer registriert über 50 Absenderkennungen unter 12 gefälschten Firmenidentitäten. Jede wird für ca. 10.000 Nachrichten verwendet, bevor sie deaktiviert wird. Firewalls ohne maschinelles Lernen übersehen dies vollständig; Regelmodule können nicht alle Varianten erfassen. Verhaltensbasiertes maschinelles Lernen erkennt dies innerhalb von 6 Stunden: Durchsatzmuster, Inhalts-Fingerabdruck und Empfängerüberschneidungen deuten auf korrelierte Aktivitäten über die verschiedenen Absenderkennungen hinweg hin.
Schritt 2 – Inhaltsvariation
Angreifer schleusen zufällige Zeichen in ihre Vorlagen ein, um die Deduplizierung mittels Content-Hash zu umgehen. Die Firewall wechselt daraufhin zu MinHash + n-Gramm-Ähnlichkeit und identifiziert die zugrundeliegende Vorlage trotz des Rauschens.
Schritt 3 – Routenrotation
Der Angreifer wechselt stündlich zwischen drei ausländischen Aggregatoren. Die Firewall korreliert anhand des Ziel-MSISDN-Musters (einer bekannten Liste von Phishing-Kunden) und blockiert die Verbindungen beim Empfänger, nicht beim Absender.
Lektion
Regelbasierte Systeme allein reichen nicht aus. Verhaltensbasiertes maschinelles Lernen hingegen schon – vorausgesetzt, es wird mit betreiberspezifischen Daten und nicht mit generischen CPaaS-Daten trainiert. Dies ist einer der Gründe, warum die Firewall von BroadNet, die seit 2003 mit dem Datenverkehr von Betreibern in der MENA-Region trainiert wurde, einen messbaren Vorteil gegenüber globalen Firewall-Anbietern bietet, die ihre Systeme nachträglich an die Region anpassen.