211service.com
Contenente worm Internet
Secondo una ricerca pubblicata di recente su Transazioni IEEE su Computing Affidabile e Sicuro . Sebbene esistano altri metodi per proteggersi dai worm, la nuova strategia è progettata per ridurre al minimo le interferenze con i normali schemi di lavoro degli utenti, afferma Ness Shroff , professore nel dipartimento di ingegneria elettrica dell'Ohio State University, coinvolto nella ricerca. I ricercatori prevedono la tecnica utilizzata nelle reti aziendali, dove potrebbe identificare i computer che devono essere messi in quarantena e controllati per l'infezione.
I worm Internet possono essere arruolati per lanciare attacchi denial-of-service, che inondano un sito Web in modo che gli utenti legittimi non possano accedervi, o installano backdoor che possono essere utilizzate per creare botnet . Un gran numero di computer infetti potrebbe rallentare notevolmente il traffico Internet, anche se i worm non fanno altro che diffondersi.
Il metodo della Purdue University e dell'Ohio State per impedire la diffusione dei worm funziona principalmente per una classe di worm che esegue la scansione di Internet in modo casuale alla ricerca di macchine host vulnerabili da infettare. Uno di questi worm era Code Red , che nel 2001 ha infettato più di 359.000 computer in meno di 14 ore e alla fine ha causato danni per circa 2,6 miliardi di dollari. Sebbene questo tipo di worm sia in circolazione da un po' di tempo, Kurt Rohloff , uno scienziato nel gruppo di tecnologia dei sistemi distribuiti presso Tecnologie BBN , dice che è ancora pericoloso. Si tratta di una classe di worm molto semplice che è molto facile da sviluppare e programmare, ma allo stesso tempo non sono così facili da contenere, dice. Se potessimo capire questi worm abbastanza semplici ma ancora problematici, potremmo sperare di affrontare i cosiddetti worm subdoli.
I ricercatori basano la loro strategia su un nuovo modello progettato per il modo in cui i vermi si diffondono. Molti modelli esistenti si basano su un'analogia con la diffusione delle epidemie, afferma Shroff, ma sono più accurati nelle fasi successive di un'infezione. Il modello dei ricercatori è stato progettato in particolare per la precisione nelle prime fasi dell'infezione e ha rivelato che la chiave per stabilire se un worm può diffondersi con successo o meno è il numero totale di volte in cui un host infetto esegue la scansione di Internet nel tentativo di trovare nuovi host infettare.
Mentre altri metodi per contenere i worm si sono concentrati sul monitoraggio dei computer per i cambiamenti nella velocità con cui scansionano Internet di momento in momento, Shroff afferma che ciò può interferire con le attività quotidiane degli utenti. I tassi di scansione variano molto, quindi se vai online, potresti scansionare molte volte in un periodo di tempo molto breve e poi non scansionare affatto, dice. Abbiamo ritenuto che la velocità di scansione fosse troppo restrittiva e potesse interferire con il normale funzionamento della rete. Monitorando il volume delle scansioni per un periodo di tempo più lungo, afferma, è possibile contenere i worm mantenendo la soglia troppo alta per consentire agli utenti ordinari di lanciare allarmi. Il software potrebbe monitorare il numero di scansioni inviate da ciascun computer su una rete e mettere in quarantena tutti i computer che superano tale numero. Shroff spera che la modifica dei criteri per sospettare un'infezione in questo modo riduca la probabilità che le scansioni legittime di Internet vengano contrassegnate come attività worm.
In un certo senso, quello che stiamo facendo è approfittare del fatto che questo worm sta provando molte cose e perde molte volte, e ogni volta che manca, sta fornendo alcune informazioni, dice Shroff. Sebbene il sistema sia progettato per gestire i worm di scansione che cercano host vulnerabili in modo casuale, i ricercatori lo hanno adattato anche per i worm che prendono di mira i loro attacchi a specifiche reti locali.
Shroff ritiene che il sistema potrebbe essere distribuito al meglio sulle reti aziendali, in particolare in situazioni in cui sono disponibili computer aggiuntivi che potrebbero coprire un carico di lavoro mentre vengono esaminati i computer eventualmente infetti. Potrebbe non funzionare altrettanto bene per le piccole imprese o sulle reti domestiche, perché portare un computer offline potrebbe essere un'interruzione troppo grande per gli utenti, dice.
Rohloff afferma che potrebbe immaginare che un tale sistema sia efficace, ma avverte che il pregiudizio, ovviamente, sarebbe che proteggerebbe le reti locali dalle infezioni che sono già presenti nella rete. Non farebbe altrettanto per proteggere le reti dalle infezioni che provengono dall'esterno. Aggiunge che mentre il modello dei ricercatori e le simulazioni iniziali sembrano buoni, sarebbe curioso di vedere un'analisi più approfondita di quanto spesso il sistema sospetti che un computer sia stato infettato da un worm quando non è effettivamente presente.
I ricercatori della Purdue e dell'Ohio State suggeriscono che il lavoro futuro potrebbe cercare modi per adattare i loro strumenti a worm sempre più mirati. Shroff afferma che mentre lui e i suoi colleghi si stanno ora concentrando sull'arresto dei worm a livello di computer host, un'altra possibile direzione potrebbe essere quella di creare un software che consenta ai router di monitorare schemi di traffico sospetti. Sebbene un tale approccio possa consentire il monitoraggio di un numero relativamente elevato di computer da un unico punto, richiederebbe anche modifiche significative al funzionamento dei router. Mentre attualmente tengono traccia solo della destinazione del traffico Internet, dovrebbero iniziare a tenere traccia anche della sua origine.