Microsoft Team traccia gli utenti dannosi

L'anonimato su Internet può essere sia una benedizione che una maledizione. Mentre la capacità di nascondersi dietro proxy anonimi e indirizzi IP (Internet Protocol) in rapida evoluzione ha consentito di parlare più liberamente nelle nazioni con regimi repressivi, le stesse tecnologie consentono ai criminali informatici di nascondere le proprie tracce e spacciare codice dannoso e spam per comunicazioni legittime.

In un documento che sarà presentato la prossima settimana a SIGCOMM 2009 a Barcellona, ​​in Spagna, tre ricercatori del centro di ricerca Microsoft di Mountain View, in California, dimostrano un modo per rimuovere lo scudo dell'anonimato da tali loschi aggressori. Utilizzando un nuovo strumento software, i tre informatici sono stati in grado di identificare le macchine responsabili di attività dannose, anche quando l'indirizzo IP dell'host cambiava frequentemente.

Quello che stiamo veramente cercando di raggiungere è l'host responsabile di un attacco, ha detto Yinglian Xie , un membro del team Microsoft. Non stiamo cercando di tenere traccia di quegli identificatori ma di associarli a un particolare host.

Il sistema prototipo, soprannominato HostTracker, potrebbe portare a migliori difese contro attacchi online e campagne di spam. Le società di sicurezza potrebbero, ad esempio, creare un quadro migliore di quali host Internet dovrebbero essere bloccati dall'invio di traffico ai propri clienti e i criminali informatici avrebbero difficoltà a camuffare le loro attività come traffico legittimo.

Xie e i suoi colleghi, Fang Yu e Martin Abadi, hanno analizzato un mese di dati – 330 gigabyte – raccolti da un grande provider di servizi di posta elettronica, nel tentativo di determinare quali utenti erano responsabili dell'invio di spam. Per tracciare le origini di più epidemie di spam, gli scienziati hanno studiato i record che includevano più di 550 milioni di ID utente, 220 milioni di indirizzi IP e un timestamp per eventi come l'invio di un messaggio o l'accesso a un account.

Tracciare le origini dei messaggi, un'attività chiave per tenere traccia dello spam e di altri tipi di attacchi Internet, ha comportato la ricostruzione delle relazioni tra gli ID degli account e gli host da cui gli utenti si sono collegati al servizio di posta elettronica. Per fare ciò, i ricercatori hanno raggruppato tutti gli ID a cui si accede da diversi host in un determinato periodo di tempo. Il software HostTracker ha quindi setacciato questi dati per risolvere eventuali conflitti. Ad esempio, a volte più di un utente sembrava provenire dallo stesso indirizzo IP o un singolo utente aveva più indirizzi ID durante periodi di tempo sovrapposti.

HostTracker risolve i conflitti incrociando i dati per identificare i server proxy, che consentono a diversi host di apparire come un unico indirizzo IP e per determinare quando un ospite stava utilizzando un host legittimo. Il fatto che siamo in grado di tracciare il traffico dannoso verso il proxy stesso è un miglioramento perché siamo in grado di individuare l'origine esatta, afferma Xie.

I ricercatori hanno anche creato un modo per inserire automaticamente nella blacklist il traffico da un particolare indirizzo IP, una volta che il sistema HostTracker ha determinato che l'host a quell'indirizzo è compromesso. Utilizzando questo metodo nella simulazione, i ricercatori sono stati in grado di bloccare il traffico dannoso con un tasso di errore del cinque percento, in altre parole, 5 indirizzi IP su 100 classificati come dannosi erano in realtà legittimi. L'utilizzo di informazioni aggiuntive per identificare un buon comportamento degli utenti ha ridotto il tasso di falsi positivi a meno dell'uno percento.

I risultati suggeriscono che HostTracker sarebbe un buon modo per perfezionare l'attuale modo di difendersi dagli attacchi denial-of-service distribuiti e dalle campagne di spam, afferma Gunter Ollmann, vicepresidente della ricerca e sviluppo presso Damballa , un'azienda che aiuta le aziende a trovare ed eliminare gli host compromessi in una rete di computer.

L'utilizzo di questa tecnica aiuterà a trovare botnet con un'alta frequenza di traffico, come campagne di spam, attacchi DDoS e forse attacchi click-through, afferma Ollmann. Altri attacchi, come il furto di password e i trojan bancari, in cui l'attacco è più incentrato sull'host, questo tipo di tecnica non sarebbe altrettanto efficace.

Xie riconosce che mentre la tecnica è utile per creare elenchi di host da monitorare, potrebbe essere meno utile per le forze dell'ordine che tentano di identificare gli aggressori dietro il crimine online. La responsabilità di cui stiamo parlando non è la responsabilità del tribunale, dice. Vogliamo separare le due nozioni. La responsabilità di cui stiamo parlando è la capacità di identificare gli host.

nascondere