Chuyên gia bảo mật Hình dung Botnet bằng mắt hướng tới

Không phải tất cả các botnet đều được tổ chức theo cùng một cách. Đó là kết luận của một báo cáo từ Damballa tìm cách phân loại các cấu trúc thống trị. Nó cố gắng giải thích tại sao một số loại chặn và lọc nào đó sẽ hoạt động chống lại một số botnet, chứ không phải cho những botnet khác.

"Biểu ngữ đe dọa 'lai' thường được tạo ra", Gunter Ollmann, Phó chủ tịch nghiên cứu, Damballa, một doanh nghiệp nói. Công ty bảo mật chuyên về giảm thiểu botnet "Nhưng nhãn hiệu đó không có ý nghĩa gì với các đội được giao nhiệm vụ bảo vệ doanh nghiệp. Bằng cách giải thích các cấu trúc liên kết (và điểm mạnh và điểm yếu của họ), các đội này có thể hình dung rõ hơn mối đe dọa". và cung cấp cho các bot riêng một giao tiếp trực tiếp với máy chủ Command and Control (CnC). Nó có thể được hình dung trong một mô hình giống như ngôi sao. Tuy nhiên, bằng cách cung cấp liên lạc trực tiếp với một máy chủ CnC, botnet tạo ra một điểm lỗi duy nhất. Đưa ra máy chủ CnC và botnet hết hạn. Ollmann nói rằng bộ kit botnet Zeus DIY, nằm ngoài hộp, là một mẫu hình ngôi sao, nhưng các botmasters thường nâng cấp, làm cho nó trở thành đa nhân.

"Trong hầu hết các trường hợp, botnet đặc biệt có thể được phân loại như một thành viên của chỉ một cấu trúc liên kết CnC- Nhưng nó thường xuống đến botnet master mà họ chọn.

Multi-Server là phần mở rộng hợp lý của cấu trúc Star sử dụng nhiều máy chủ CnC để hướng dẫn cho các bot riêng lẻ. Thiết kế này, Ollmann nói, cung cấp khả năng phục hồi nếu bất kỳ một máy chủ CnC nào đi xuống. Nó cũng yêu cầu lập kế hoạch phức tạp để thực thi. Srizbi là một ví dụ điển hình về botnet topo CnC đa máy chủ.

Cấu trúc botnet phân cấp được tập trung cao và thường được kết hợp với botnet đa tầng - ví dụ botnet là tác nhân bot có khả năng lan truyền giun - và sử dụng siêu CnC ngang hàng dựa trên -node. Điều đó có nghĩa là không có bot nào nhận thức được vị trí của bất kỳ bot nào khác, thường làm cho các nhà nghiên cứu bảo mật khó có thể điều chỉnh kích thước tổng thể của botnet. Cấu trúc này, theo Damballa, thích hợp nhất để cho thuê hoặc bán các phần của botnet cho người khác. Nhược điểm là hướng dẫn mất nhiều thời gian hơn để đạt được mục tiêu của họ vì vậy một số loại tấn công không thể phối hợp.

Ngẫu nhiên là đảo ngược cấu trúc phân cấp. Botnet này được phân cấp và sử dụng nhiều đường dẫn truyền thông. Nhược điểm là mỗi bot có thể liệt kê những người khác trong khu phố, và thường giao tiếp chậm giữa các cụm bot, một lần nữa làm cho một số cuộc tấn công không thể phối hợp. Storm sẽ phù hợp với mô hình ngẫu nhiên của Damballa, như các botnet dựa trên phần mềm độc hại Conficker

Báo cáo, Botnet Communication Topologies: Hiểu được những phức tạp của lệnh điều khiển và điều khiển botnet, cũng xếp hạng các phương pháp khác nhau của thông lượng nhanh, phương pháp mà CnC máy chủ thay đổi tên miền của nó khi đang di chuyển. Damballa thấy rằng Domain Flux, một quá trình thay đổi và phân bổ nhiều tên miền hoàn toàn đủ điều kiện cho một địa chỉ IP hoặc cơ sở hạ tầng CnC, là khả năng phục hồi và giảm thiểu nhất.

Robert Vamosi là nhà phân tích rủi ro, gian lận và bảo mật Javelin Strategy & Research và một nhà văn bảo mật máy tính độc lập bao gồm các tin tặc hình sự và các mối đe dọa phần mềm độc hại.