Identificar comportamientos indebidos entre dispositivos conectados a la red, es crítico para cualquier compañía preocupada por las Amenazas Persistentes Avanzadas (APT). Por este motivo, para ayudar a evitar estos ataques de malware dirigidos, Fortinet ha analizado, en su informe “Detecting What’s Flying Under the Radar: The Importance of Client Reputation in Defending Against Advanced Threats”, los cinco principales tipos de comportamiento que pueden indicar que un dispositivo ha sido infectado:
1) Intentos de conexión fallidos: A menudo el malware intenta conectarse, a través de Internet, a hosts que no existen. Mientras que una única conexión incorrecta, puede deberse a errores cometidos por el usuario o a que se ha seguido un enlace erróneo, una serie de conexiones fallidas consecutivas, puede ser síntoma de una infección de malware.
2) Elección de aplicaciones: Un host que instala una aplicación de compartición de archivos (P2P) puede ser considerado más peligroso que un host que instala un juego. Algunas organizaciones podrían considerar que ambas acciones son problemáticas. La capacidad de otorgar un “peso” a cada acción permitirá cuantificar correctamente el riesgo.
3) Localización geográfica: Las visitas a hosts en determinados países pueden considerarse un comportamiento de alto riesgo, sobre todo si hay un volumen de tráfico significativo. Identificar tal comportamiento combinándose con una lista blanca que identifique los sites legítimos en tales países, ayuda a identificar clientes infectados.
4) Información de la sesión: Cuando un dispositivo comienza a escuchar en un puerto para recibir una conexión desde el exterior pero no ha iniciado previamente dicha conexión, puede tratarse de una infección APT.
5) Categoría de destino: Si se visitan determinados tipos de websites, como sitios de apuestas, webs para adultos o aquellos sitios conocidos por contener malware, puede también ser síntoma de una infección APT.
“Identificar el comportamiento de usuarios y aplicaciones peligrosas supone un paso adelante en la protección frente a las Amenazas Persistentes Avanzadas (APT). La protección basada en firmas ya no es suficiente. Es básico disponer de una imagen completa y actualizada del comportamiento de los clientes en la red,”indica Acacio Martín, director general de Fortinet Iberia. “La reputación del cliente y su clasificación son componentes esenciales a la hora de organizar y entender la ingente cantidad de información de seguridad disponible en las organizaciones, para su aplicación como una respuesta de seguridad dinámica y dirigida”, añade.
