peradores de rotas cinzentas travam uma corrida armamentista de vários anos contra fornecedores de firewalls. Aqui está um roteiro típico de evasão observado numa operadora do Médio Oriente e Norte de África com a qual trabalhamos — e como o firewall detetou cada etapa.
Etapa 1 — rotação do ID do remetente
O atacante regista mais de 50 IDs de remetente em 12 identidades comerciais falsas. Cada um é usado para cerca de 10.000 mensagens antes de ser descartado. Firewalls anteriores à era da aprendizagem automática não detetam isso; os mecanismos de regras não conseguem listar todas as variantes. A aprendizagem automática comportamental deteta o ataque em até 6 horas: o padrão de fluxo de dados, a assinatura do conteúdo e a sobreposição de destinatários indicam atividade correlacionada entre os IDs de remetente.
Etapa 2 — variação de conteúdo
O atacante injeta caracteres aleatórios no modelo para evitar a desduplicação do hash de conteúdo. O firewall alterna para MinHash + similaridade de n-gramas, identificando o modelo subjacente em meio ao ruído.
Etapa 3 — rotação de rota
O atacante alterna entre três agregadores estrangeiros por hora. O firewall correlaciona o padrão MSISDN de destino (uma lista conhecida de clientes que estão a ser vítimas de phishing) e bloqueia o ataque pelo padrão do destinatário, não pela origem.
Lição
Os mecanismos de regras sozinhos não conseguem acompanhar o ritmo. A aprendizagem automática comportamental consegue — desde que seja treinado com dados específicos da operadora, e não com dados genéricos de CPaaS. Essa é uma das razões pelas quais o firewall da BroadNet, treinado com o tráfego de operadoras do Médio Oriente e Norte de África desde 2003, tem uma vantagem mensurável sobre fornecedores globais de firewall que estão a adaptar as suas soluções para a região.