ператоры «серых» маршрутов уже несколько лет ведут гонку вооружений против поставщиков межсетевых экранов. Вот типичная схема обхода защиты, которую мы наблюдаем у одного из операторов в регионе MENA, с которым мы сотрудничаем, — и как межсетевой экран перехватывал каждый шаг.
Шаг 1 — смена идентификатора отправителя
Злоумышленник регистрирует более 50 идентификаторов отправителя под 12 поддельными бизнес-идентификаторами. Каждый из них используется примерно для 10 000 сообщений, после чего удаляется. Межсетевые экраны до внедрения машинного обучения полностью упускают это из виду; системы правил не могут перечислить все варианты. Поведенческое машинное обучение обнаруживает это в течение 6 часов: характер пропускной способности, отпечаток содержимого и совпадение получателей указывают на коррелированную активность по всем идентификаторам отправителя.
Шаг 2 — вариативность контента
Злоумышленник внедряет в шаблон случайные символы, чтобы избежать дедупликации хеш-таблиц содержимого. Межсетевой экран переключается на алгоритм MinHash + n-граммовое сходство, идентифицируя базовый шаблон среди шума.
Шаг 3 — смена маршрута
Злоумышленник переключается между тремя зарубежными агрегаторами в час. Межсетевой экран определяет целевой MSISDN-шаблон (известный список клиентов, подвергающихся фишинговой атаке) и блокирует атаки по шаблону получателя, а не источника.
Урок
Одних лишь механизмов обработки правил недостаточно. Машинное обучение на основе поведения может справиться — при условии, что оно обучено на данных, специфичных для конкретного оператора, а не на общих данных CPaaS. Это одна из причин, почему межсетевой экран BroadNet, обученный на трафике операторов MENA с 2003 года, имеет ощутимое преимущество перед поставщиками межсетевых экранов мирового уровня, модернизирующимися для этого региона.