es opérateurs de réseaux parallèles se livrent depuis plusieurs années à une véritable course contre la montre face aux fournisseurs de pare-feu. Voici un exemple de stratégie d'évasion typique observée chez un opérateur de la région MENA avec lequel nous collaborons, et comment le pare-feu a permis de détecter chaque étape.
Étape 1 — Rotation de l'identifiant de l'expéditeur
Un attaquant enregistre plus de 50 identifiants d'expéditeur répartis sur 12 fausses identités d'entreprise. Chaque identifiant est utilisé pour environ 10 000 messages avant d'être désactivé. Les pare-feu non basés sur l'apprentissage automatique ne détectent pas cette activité ; les moteurs de règles ne peuvent pas recenser toutes les variantes. L'apprentissage automatique comportemental la détecte en moins de 6 heures : le débit, l'empreinte du contenu et le chevauchement des destinataires révèlent une activité corrélée entre les différents identifiants d'expéditeur.
Étape 2 — Variation du contenu
L'attaquant injecte des caractères aléatoires dans le modèle pour contourner la déduplication du hachage de contenu. Le pare-feu bascule alors sur MinHash et la similarité n-gramme, identifiant ainsi le modèle sous-jacent malgré le bruit.
Étape 3 — rotation de la route
L'attaquant alterne entre trois agrégateurs étrangers par heure. Le pare-feu effectue une corrélation en fonction du modèle MSISDN de destination (une liste connue de clients ciblés par hameçonnage) et bloque les attaques au niveau du destinataire, et non de la source.
Leçon
Les moteurs de règles seuls ne suffisent pas. L'apprentissage automatique comportemental, lui, peut y remédier, à condition d'être entraîné sur des données spécifiques à l'opérateur et non sur des données CPaaS génériques. C'est l'une des raisons pour lesquelles le pare-feu de BroadNet, entraîné sur le trafic des opérateurs de la région MENA depuis 2003, présente un avantage significatif par rapport aux pare-feu globaux qui tentent de les adapter à cette région.