אבטחה מומחים לדמיין Botnets עם עין כלפי הגנה

לא כל botnets מאורגנים באותו אופן. זה המסקנה של דו"ח Damballa אשר מבקש לקטלג את המבנים לשלוט. הוא מנסה להסביר מדוע סוגים מסוימים של חסימה וסינון יפעלו נגד כמה botnets, ולא עבור אחרים.

"הדגל האיום" היברידי הוא לעתים קרובות להפיל ", אומר Gunter Ollmann, סמנכ"ל מחקר, Damballa, מפעל חברת האבטחה המתמחה בהפחתת הבוטנטים ", אך תווית זו אינה משפיעה על צוותים המוטלים על הארגון, על ידי הסברת הטופולוגיות (וכוחם וחולשותיהם), צוותים אלה יכולים לדמיין את האיום בצורה טובה יותר."

מבנה הכוכבים הוא הבסיס הבסיסי ביותר ומציע לרובוטים בודדים תקשורת ישירה עם השרת Command and Control (CnC). זה יכול להיות דמיינו בתבנית דמוית כוכב. עם זאת, על ידי מתן תקשורת ישירה עם שרת CnC אחד botnet יוצר נקודה אחת של כישלון. להוציא את השרת CnC ואת botnet פג. Ollmann אומר כי ערכת ה- botnet של Zeus DIY, מחוץ לקופסה, היא תבנית כוכבים, אך לעתים קרובות הבוטמסטרים משדרגים, מה שהופך אותה למולטייבר.

"ברוב המקרים, ניתן לסווג את הבוטנטים הספציפיים כחבר בטופולוגיה אחת בלבד של CnC - - אבל זה לעתים קרובות עד מאסטר הבוטנט שבו הם בוחרים. "

Multi-Server הוא הרחבה לוגית של מבנה כוכב באמצעות שרתי CnC מרובים כדי להזין הוראות לרובוטים בודדים. עיצוב זה, אומר Ollmann, מציע גמישות אם כל שרת CnC אחד לרדת. זה דורש גם תכנון מתוחכם על מנת לבצע. סריזבי הוא דוגמא קלאסית לבוטנט של טופולוגיית CnC מרובת שרתים.

מבנה הבוטרכיה ההירארכית הוא ריכוזי מאוד ולעתים קרובות מקושרים לבוטנטים מרובי-שלבים - לדוגמה, לבוטנטים שסוכני בוט הם בעלי יכולות התולעת של התולעת - ולנצל סופר מבוססי עמית לעמית CnC. כלומר, לא בוט אחד מודע למיקום של כל הרובוטים האחרים, לעתים קרובות מקשה על חוקרי אבטחה כדי לגדול את הגודל הכולל של botnet. מבנה זה, אומר Damballa, הוא המתאים ביותר עבור חכירה או מכירת חלקים של botnet לאחרים. החיסרון הוא כי ההוראות לוקחות זמן רב יותר כדי להגיע מטרות שלהם אז כמה סוגים של התקפות בלתי אפשרי לתאם.

אקראי הוא ההפך של המבנה ההיררכי. Botnet זה מבוזר באמצעות נתיבי תקשורת מרובים. החיסרון הוא שכל בוט יכול למנות אחרים בשכונה, ולעתים קרובות תקשורת מפגרת בין אשכולות של בוטים, ושוב עושה כמה התקפות בלתי אפשרי לתאם. סטורם יתאים למודל אקראי של דמבאללה, כמו גם את הבוטנטים שמבוססים על התוכנה הזדונית של Conficker

הדו"ח, Botnet Communication Topologies: הבנת המורכבות של פקודת הבקרות והבקרה, מדורגת גם בשיטות שונות של השטף המהיר, השיטה שבה CnC השרת משנה את הדומיינים שלה במהירות. Damballa מצאה ש- Domain Flux, תהליך המשתנה והקצה של שמות מתחם מרובי שמות מלאים לכתובת IP יחידה אחת או לתשתית CnC, הוא הגמיש ביותר לגילוי ולהקטנה.

Robert Vamosi הוא מנתח סיכונים, הונאה ואבטחה עבור Javelin אסטרטגיה מחקר & סופר עצמאי אבטחה המחשב המכסים האקרים פליליים ותוכנות זדוניות איומים