Desmitificando los mitos de las blocklists

1. Las blocklists son tecnología antigua

Los mecanismos de entrega de las DNSBL han existido durante muchos años. Sin embargo, la inteligencia de amenazas contenida en las blocklists están evolucionando continuamente para reflejar los peligros actuales, así como los medios usados para investigar y publicar estos datos.

Probadas y comprobadas

Existe gran diferencia entre “antiguas y obsoletas” y “probadas y comprobadas”. No se puede negar que el mecanismo de entrega de datos de blocklists, es decir, vía la zona DNS, tiene décadas de antigüedad.   De hecho, la primera DNSBL la creó Eric Ziegast en 1997, quien trabajaba en MAPS con su fundador, Paul Vixie.

Pero, y este es un gran PERO, las DNSBL son un mecanismo de entrega en tiempo real ligero, robusto y conveniente para datos de reputación relacionados con IP, dominios y contenido.   Se están desarrollando continuamente para contrarrestar actividades nefastas en línea.

Nuevas tecnologías de investigación

Los primeros días de la creación de las blocklists implicaron horas de incansable investigación manual y el uso de heurística.   Hoy en día, el machine learning nos permite procesar una cantidad de datos siempre creciente, y nuestros investigadores aún realizan investigaciones manuales y aplican heurística.

También avanza el tipo de datasets que se producen.   Además de datos de reputación de IP y de dominios, se compilan Blocklists de hash, permitiendo que también se listen contenidos específicos como direcciones de correo electrónico, archivos de malware y direcciones de criptocarteras.

Mediante el aprovechamiento de nuevas herramientas y tecnologías, seguimos identificando a los individuos poco confiables y comportamientos maliciosos a la vez que limitamos la cantidad de falsos positivos.   Gastamos recursos considerables para desarrollar nuestras capacidades de cacería de amenazas, permitiendo que nuestros clientes pongan su atención en otros asuntos.

Por lo tanto, aunque los mecanismos de entrega de las DNSBL pueden ser considerados “antiguos”, los datos reales que contiene se investigan cuidadosamente usando tecnología y técnicas de vanguardia para brindar datos de reputación de IP, dominios y contenido que protejan contra amenazas actuales.

2. Las blocklists solo detienen el spam

Eh, no. Las DNSBL puede filtrar todo tipo de amenazas originadas en correos electrónicos, incluidos enlaces de phishing, archivos de malware, bots y URL hacia sitios web de malware. El spam es solo la punta del iceberg.

Aclaración    

Primero, vamos a definir spam… Obviamente, no nos referimos a la marca comercial del famoso producto de carne procesada.   Estamos hablando de correos electrónicos no solicitados que se envían en masa a una gran cantidad de destinatarios.

La mayoría de las personas considera que spam es el término general para la plétora de correos electrónicos repudiables que venden pastillas,sexo y listas, entre otras cosas indeseables.

Sin embargo, el correo electrónico también es un vector para problemas más siniestros como los archivos de malware (94% de los cuales se entregan vía correo electrónico), ransomware, sitios de phishing…y la lista continua. Las blocklists pueden mitigar los riesgos de estos problemas y mucho más.

Bloqueo de archivos de malware    

Los correos electrónicos que tienen archivos de malware adjuntos pueden ser bloqueados con el componente de malware de la anteriormente mencionada Blocklist de hash. Ahí se listan los hashes criptográficos de archivos de malware. Los investigadores de Spamhaus pueden listar archivos de malware a los 20 segundos de haberlos observado inicialmente.

Bloqueo de dominios

Las Blocklists de dominios (DBL)  contienen listas de dominios que no solo están asociados con el envío de spam, sino también los que están asociados con phishing, malware y comandos y controles (C&C) de botnets.

Bloqueo de máquinas comprometidas

Nuestra Blocklist de exploits (XBL)  solo lista direcciones IP (aproximadamente 13 millones) que muestran señales de estar en riesgo, es decir, máquinas infectadas con malware, gusanos y troyanos, o exploits de terceros como proxys abiertos o dispositivos controlados por botnets.

Notarás que no se mencionó la palabra “spam” en toda esa letanía de maldades de Internet.   Donde hay una máquina comprometida, es muy probable que vaya a haber más actividad criminal, como propagación de correos electrónicos con malware en los adjuntos hacia todos los contactos disponibles para que se siga propagando y aumente su alcance o la descarga de sus credenciales de inicio de sesión o financieras.

¿Ya dijimos suficiente?

Podemos continuar, ¡pero creemos que ya dejamos claro que las blocklists filtran mucho más cosas que solo spam!

3. Cuando las entradas están en una blocklist, ya es demasiado tarde

La creencia de que las blocklists son solamente reactivas, es decir, solo se listan una IP, dominio o hash cuando se observa que se comportan maliciosamente, simplemente no es precisa.

Spamhaus pasa una considerable cantidad de tiempo investigando ambientes y recursos de Internet.   Nuestros investigadores están buscando continuamente indicadores que sugieran que una entidad está a punto de participar en actividad maliciosa.   A continuación, unos ejemplos de dónde son proactivos los listados de las blocklists:

Rangos de IP secuestrados

Donde observamos un rango de IP secuestrado, es (casi) una certeza que seguirá una actividad nefasta a partir de ese rango de IP. Por lo tanto, seguimos listando el/los rango(s) de IP para bloquear cualquier posible ataque que puedan emitir.

Mala reputación de dominio

Spamhaus cuenta con listas de dominios, en cuanto son registrados, e investigamos proactivamente sus diversas propiedades.   Con este análisis, nuestros investigadores pueden calificar la reputación de los dominios y evaluar la probabilidad de que sean usados con intenciones maliciosas. Luego, estos dominios son listados antes de que sean usados por el público en general.

Dominios recién registrados

Nuestra Blocklist de Zero Reputation (ZRD)  lista todos los dominios registrados recientemente durante 24 horas.   Cuando se registra un dominio nuevo por primera vez, es poco probable que envíe correos electrónicos de inmediato, a menos que sea usado por individuos poco confiables que registran y queman cientos y miles de dominios.

Rangos de IP que no deberían enviar correos electrónicos

La Blocklist de políticas (PBL) que ofrece Spamhaus permite que los proveedores de servicios de Internet (ISP) listen rangos de direcciones IP que nunca deberían enviar correos electrónicos directamente a Internet.   Esta es una blocklist totalmente proactiva.

La inteligencia reactiva todavía puede proteger

Spamhaus ha reducido la latencia, así, cuando ocurren ataques, toma menos de 20 segundos listar una IP, dominio o hash desde su detección.   En el caso de grandes campañas maliciosas, es posible que nuestros datos no puedan proteger a los usuarios de ataques desde que empiezan, pero en el caso de una campaña de tormenta, que se ejecuta hasta 5 minutos, el 90% de los afectados tendrán protección.

4. Todas las blocklists son iguales

Esto está muy lejos de la verdad de muchas maneras. Después de haber leído hasta aquí, te darás cuenta rápidamente (si no lo has hecho aún) que ninguna blocklist es igual a otra.   Cada una tiene políticas de listado separadas, es decir, los criterios que se usan para decidir si algo debe o no estar en la lista.   De igual manera, las organizaciones que investigan y compilan blocklists no son iguales. Aunque es relativamente fácil empezar una blocklist, mantener su consistencia es difícil (y vital).

Diferentes amenazas y diferentes lugares para aplicar los datos

Dado que cada blocklist tiene un enfoque diferente, necesitan aplicarse en el lugar correcto de una transacción de correo electrónico. Por ejemplo, usar la PBL para el análisis profundo de encabezados sería una receta para el desastre. Sigue nuestras mejores prácticas  para asegurarte de que las estás implementando correctamente.

Diferentes perfiles de riesgo requieren diferentes blocklists

Siempre asegúrate de comprender las características de cada blocklist que utilices.   Spamhaus, por ejemplo, tiene una sección de “Legítimos abusados” en la DBL.   Aquí se listan los recursos legítimos secuestrados.   Puedes elegir entre ignorar o actuar en relación con la respuesta de la consulta relacionada con esta parte de la DBL. Ten presente que es posible que aumente tu riesgo de falsos positivos.   Debes ponderar el apetito de tu organización por el riesgo contra los problemas operativos relacionados con un incremento en la cantidad de falsos positivos.

La consistencia es la reina

Cuando se trata de blocklists, los proveedores tienen que ser consistentes.   Cada listado debe apegarse a sus políticas particulares, día y noche, y no es fácil hacerlo.

5. Las blocklists solo se deben usar durante la transacción SMTP

¡Incorrecto! Supón que solo usas blocklists durante la transacción SMTP. En este caso, pierdes la oportunidad de contrastar muchos elementos, como las URL, direcciones de correo tipo Responder a, archivos enviados como adjuntos, etc., con los datos de reputación.

Si bien es cierto que la etapa SMTP por sí sola puede bloquear el 95% del spam o más, todavía podría pasar una fracción de mensajes desagradables que contienen amenazas.

6. Las blocklists solo se deben usar durante el análisis de contenido

¡No!   Si solo usas blocklists durante el análisis de contenido, estás perdiendo una gran oportunidad de descartar un enorme porcentaje ( ¿viste ese 95% más arriba?) de correos electrónicos no deseados en la conexión IP inicial y durante la transacción SMTP antes de transferir datos.

Descartar correos maliciosos antes de que lleguen a la costosa etapa de filtrado de contenido para ahorrar en el ancho de banda reducirá significativamente la cantidad de conexiones abiertas, conservará el almacenamiento y te beneficiará con la reducción general de requerimientos de memoria y CPU.

7. Solo se deben usar las blocklists de IP para filtrar correos electrónicos durante la etapa SMTP

¡Absolutamente no!   Como ya se mencionó, Spamhaus lista cierta cantidad de dominios antes de que puedan ser vistos por el público en general.   Por lo tanto, hacer consultas a la DBL o al ZRD en las etapas adecuadas de la transacción SMTP brinda una protección proactiva adicional.

¿Qué mito quieres que sea desmitificado?

Ya fue suficiente desmitificación por un día.   Si tienes algún otro mito relacionado con las blocklists y Spamhaus, envíanos un mensaje por Twitter o LinkedIn, nos gustaría desmitificarlo también.