li operatori che operano su rotte non ufficiali (grey route) sono impegnati da anni in una vera e propria corsa agli armamenti contro i fornitori di firewall. Ecco una tipica strategia di elusione osservata presso un operatore della regione MENA con cui collaboriamo, e come il firewall ha intercettato ogni singolo passaggio.
Passaggio 1: rotazione dell'ID mittente
Un malintenzionato registra oltre 50 ID mittente associati a 12 false identità aziendali. Ciascuno viene utilizzato per circa 10.000 messaggi prima di essere disattivato. I firewall pre-ML non rilevano affatto questa anomalia; i motori di regole non sono in grado di elencare tutte le varianti. L'apprendimento automatico comportamentale la individua entro 6 ore: il modello di throughput, l'impronta digitale del contenuto e la sovrapposizione dei destinatari segnalano un'attività correlata tra gli ID mittente.
Fase 2 — variazione del contenuto
L'attaccante inserisce caratteri casuali nel template per eludere la deduplicazione dell'hash del contenuto. Il firewall passa a MinHash + similarità n-gramma, identificando il template sottostante attraverso il rumore.
Fase 3 — rotazione del percorso
L'attaccante passa da un aggregatore di dati straniero all'altro ogni ora. Il firewall correla il comportamento in base al pattern MSISDN di destinazione (un elenco noto di clienti oggetto di phishing) e blocca il traffico in base al pattern del destinatario, non alla sorgente.
Lezione
I soli motori di regole non bastano. L'apprendimento automatico comportamentale sì, a patto che sia addestrato su dati specifici dell'operatore e non su dati generici di piattaforme CPaaS. Questo è uno dei motivi per cui il firewall di BroadNet, addestrato sul traffico degli operatori MENA dal 2003, ha un vantaggio misurabile rispetto ai fornitori di firewall globali che si stanno adattando alla regione.