Sikkerhedseksperter Visualiser Botnets med et øje mod forsvaret

Ikke alle botnets er organiseret på samme måde. Det er resultatet af en rapport fra Damballa, der søger at kategorisere de dominerende strukturer. Det forsøger at forklare, hvorfor visse typer blokering og filtrering vil fungere mod nogle botnets og ikke for andre.

"Hybrid-trusselbanneren er ofte kæmpet om," siger Gunter Ollmann, VP for Forskning, Damballa, en virksomhed sikkerhedsselskab med speciale i botnetbekæmpelse "Men den etiket betyder intet for hold, der har til opgave at forsvare virksomheden. Ved at forklare topologierne (og deres styrker og svagheder) kan disse teams bedre visualisere truslen."

Stjernestrukturen er den mest grundlæggende og tilbyder individuelle bots en direkte kommunikation med Command and Control (CnC) serveren. Det kan visualiseres i et stjerneagtigt mønster. Ved at tilvejebringe direkte kommunikation med en CnC-server skaber botnet imidlertid et enkelt punkt for fejl. Tag CnC-serveren ud og botnet udløber. Ollmann siger, at Zeus DIY botnet kit, ud af kassen, er et stjernemønster, men at botmasters ofte opgraderer, hvilket gør det multiserver.

"I de fleste tilfælde kan bestemte botnets klassificeres som medlem af blot en CnC topologi- men det er ofte ned til botnetmasteren, hvilken en de vælger. "

Multiserver er den logiske udvidelse af stjernestrukturen ved hjælp af flere CnC-servere til at føje instruktioner til de enkelte bots. Dette design, siger Ollmann, giver elasticitet, hvis en CnC-server skal gå ned. Det kræver også sofistikeret planlægning for at kunne udføre. Srizbi er et klassisk eksempel på en multi-server CnC topologi botnet.

Den hierarkiske botnet struktur er meget centraliseret og er ofte forbundet med flerstadie botnets - for eksempel botnets hvormed bot agenter har worm propagation evner - og udnytte super -node-baseret peer-to-peer CnC. Det betyder, at ingen bot er opmærksom på placeringen af ​​andre bots, hvilket ofte gør det svært for sikkerhedsforskere at opnå den samlede størrelse af botnet. Denne struktur, siger Damballa, er bedst egnet til leasing eller salg af dele af botnet til andre. Ulempen er, at instruktioner tager længere tid at nå deres mål, så nogle typer angreb er umulige at koordinere.

Tilfældig er omvendt af den hierarkiske struktur. Denne botnet er decentraliseret og bruger flere kommunikationsveje. Ulempen er, at hver bot kan opregne andre i nabolaget, og ofte kommunikerer kommunikationen mellem klynger af bots, hvilket igen gør nogle angreb umulige at koordinere. Storm ville passe til Damballa's Tilfældige model, ligesom botnets ville være baseret på Conficker-malware

Rapporten, Botnet Communication Topologies: Forstå de intricacies af botnet Command and Control, også rangeret forskellige metoder for hurtig flux, metoden hvormed en CnC serveren ændrer sine domæner på farten. Damballa fandt, at Domain Flux, en procesændring og tildeling af flere fuldt kvalificerede domænenavne til en enkelt IP-adresse eller CnC-infrastruktur, er den mest modstandsdygtige over for opdagelse og afbødning.

Robert Vamosi er en risiko, bedrageri og sikkerhedsanalytiker for Javelin Strategy & Research og en uafhængig computer sikkerhedsforfatter dækker kriminelle hackere og malware trusler.