os operadores de rutas no oficiales mantienen una carrera armamentística de varios años contra los proveedores de cortafuegos. Aquí presentamos una táctica típica de evasión observada en un operador de la región MENA con el que trabajamos, y cómo el cortafuegos detectó cada paso.
Paso 1: rotación del ID del remitente
El atacante registra más de 50 identificadores de remitente en 12 identidades comerciales falsas. Cada uno se utiliza para aproximadamente 10 000 mensajes antes de ser desactivado. Los firewalls anteriores al aprendizaje automático no detectan este problema; los motores de reglas no pueden listar todas las variantes. El aprendizaje automático conductual lo detecta en 6 horas: el patrón de rendimiento, la huella digital del contenido y la superposición de destinatarios indican una actividad correlacionada entre los identificadores de remitente.
Paso 2: variación del contenido
El atacante inyecta caracteres aleatorios en la plantilla para evitar la deduplicación mediante hash de contenido. El cortafuegos cambia a MinHash + similitud de n-gramas, identificando la plantilla subyacente a través del ruido.
Paso 3: rotación de ruta
El atacante cambia entre tres agregadores extranjeros por hora. El cortafuegos correlaciona mediante el patrón MSISDN de destino (una lista conocida de clientes que están siendo víctimas de phishing) y bloquea según el patrón del destinatario, no según el origen.
Lección
Los motores de reglas por sí solos no dan abasto. El aprendizaje automático conductual sí puede, siempre que se entrene con datos específicos del operador, no con datos genéricos de CPaaS. Esta es una de las razones por las que el firewall de BroadNet, entrenado con el tráfico de operadores de la región MENA desde 2003, tiene una ventaja considerable sobre los proveedores globales de firewalls que se adaptan a la región.