O que a Spamhaus faz?

Noções básicas sobre o que a Spamhaus faz

A Spamhaus analisa uma imensa quantidade de dados e lista recursos da internet com baixa reputação porque eles estão vinculados a atividades maliciosas.

Mesmo essa sentença curta talvez exija uma explicação:

• Por “recursos da internet”, eu quero dizer endereços IP [1], domínios [2], endereços de carteiras de criptomoeda, endereços de e-mail e arquivos de malware.
• Por “atividades maliciosas”, eu quero dizer todos os tipos de “maldade”, incluindo ransomware, malware, phishing e spam. Devo destacar aqui que a definição de “spam” na Spamhaus é “se a mensagem foi enviada sem ser solicitada e em massa“.
• Por “imensa quantidade de dados”, eu quero dizer que, em um período médio de 24 horas, analisamos e processamos aproximadamente:
  • 4 bilhões de conexões SMTP (conexões relacionadas a e-mails)
  • 3 milhões de domínios
  • 18 mil amostras de malwares

Especialistas em TI e segurança usam essas listas de domínios e endereços IP. Elas fornecem à indústria controle e insights para proteger seus usuários de “maldades”, ou seja, atividades maliciosas como descrito acima. E quando digo “usuários”, eu quero dizer você, que está lendo este artigo.

Como são compiladas essas listas de reputação de domínio e IP?

Em síntese, com muito trabalho, anos de experiência e cooperação com uma ampla comunidade da internet.

Vamos começar pelo último ponto: a ampla comunidade da internet. Se a comunidade não compartilhasse dados, a internet seria um faroeste digital. De fato, essa era uma descrição comum nos seus primórdios.

MAS NÃO PODEMOS COMPARTILHAR DADOS (posso ouvir você se exaltando). Correto. Os dados pessoais identificáveis (PII) não podem nem devem ser compartilhados. Nunca. Contudo, a infraestrutura que viabiliza suas atividades baseadas na internet tem conexões relacionadas a elas, seja para enviar um e-mail, navegar na web ou entrar no sistema de contabilidade da sua empresa.

Essas conexões não contêm PII. Entretanto, quando analisadas, elas revelam se estão sendo usadas por agentes mal-intencionados para cometer fraudes ou, em certos casos, se o seu açougueiro está inocentemente distribuindo spam aos clientes com os e-mails de marketing que envia.

Dados são compartilhados de todas as partes

A Spamhaus tem uma imensa rede de sensores que coletam dados de conexão nas redes: de organizações governamentais em todo o mundo a provedores de internet líderes mundiais e analistas e pesquisadores especializados. Ah, não vamos nos esquecer das armadilhas internas de spam e dos honey pots. Os dados vêm dos quatro cantos deste mundo de artimanhas.

Nesse ponto, você deve estar se perguntando: “Por que as pessoas confiam esses dados à Spamhaus?” É uma boa pergunta… que me leva à “experiência”.

Mais de duas décadas de operações independentes e éticas

Eu comentei que a internet se parece um pouco com um faroeste, não foi? Bem, a Spamhaus foi fundada em 1998 por Steve Linford. Ele não gostava da quantidade de spam e do mau uso da internet que estava vendo, então começou a fazer uma lista de endereços IP associados. A iniciativa logo ganhou força, e nerds (sem ofensas, Steve) com a mesma filosofia e pensamento de todas as partes do planeta se uniram para lutar contra o abuso na internet.

O The Spamhaus Project vem compilando listas de reputação de domínio e IP há anos. Se quiser se envolver nesse tipo de trabalho, você vai querer trabalhar para a Spamhaus. Os pesquisadores do The Spamhaus Project têm experiência em todos os diferentes tipos de setores do mundo e têm em comum algo que é vital: a paixão por influenciar, ajustar e tornar a internet um lugar mais seguro.

Eu sei que isso soa como algo íntegro demais, mas acredite, é verdade. Vai ser difícil encontrar um grupo de pessoas com tamanha boa vontade para fazer o que é certo para a internet. Essa força motriz na Spamhaus exige um comportamento ético.

Assim, dada nossa experiência, cultura e independência (não respondemos a acionistas), você consegue entender por que organizações de todas as partes do mundo confiam esses dados a nós.

O que os pesquisadores fazem com todos esses dados?

Compilando listas sem preconceito

Primeiramente, seria sensato destacar que os analistas e pesquisadores do The Spamhaus Project definiram políticas a serem seguidas. Opiniões e preconceitos não têm vez nas listas. As políticas, ou seja, os critérios que regem o que é listado, são cuidadosamente definidas, ajustadas no decorrer dos anos com a indústria para detectar quais recursos da internet são potencialmente maliciosos. E essas políticas funcionam — recentemente, nossos pesquisadores identificaram um e-mail que não era legítimo, mas que tinha sido enviado de dentro da estrutura do FBI. Alguém invadiu o sistema deles e estava enviando spam para vários contatos.

Más escolhas podem colocá-lo em uma lista de bloqueio

Obviamente que não são apenas aqueles que estão ocupados em invadir a infraestrutura do FBI que podem disparar o gatilho e ser listados. Muitos indivíduos e organizações são listados devido a comportamentos ingênuos. Geralmente, não é apenas um problema que pode fazer com que seu IP ou nome de domínio seja listado, mas vários. Por exemplo, talvez você esteja hospedando seu website em uma infraestrutura compartilhada, junto com uma abundância de websites de phishing. Ou você pode estar enviando e-mails a um grande número de contatos na primeira semana de registro do seu domínio, sem ter nenhum tipo de autenticação configurado. Problemas técnicos e comportamentais como esses podem levar à entrada na lista de bloqueio de domínio.

Que técnicas usamos para processar os dados?

Vários processos são usados para analisar e aplicar reputação aos dados, de Machine Learning a processos heurísticos e investigações manuais. Quando um recurso da internet atende ao critério da política de listagem, está feito… sim, é isso mesmo, ele entra na lista.

Removendo IPs e domínios de uma lista da Spamhaus

Tudo é muito bem listado: IPs e domínios. Mas como as pessoas removem seus IPs, domínios, etc. dessas listas de bloqueio?

Existe um “Verificador” que permite que os usuários que têm seus endereços IP ou domínios listados pesquisem na listagem. Os usuários podem descobrir por que foram listados, o que precisam fazer para garantir que não sejam listados novamente e, por fim, solicitar a remoção.

Assim que nossos pesquisadores recebem a solicitação de remoção, eles confirmam se ela é genuína e tentam responder a todas as perguntas que o usuário possa ter antes de, finalmente, aprovar a remoção.

Uma ajuda para aqueles com menos conhecimentos técnicos

Não muito tempo atrás, Alex, um dos nossos analistas seniores de ameaças, trabalhou meticulosamente com um senhor através do Verificador para resolver os problemas que esse senhor estava tendo para enviar e-mails. Os dois dedicaram horas tentando entender por que ele vivia sendo listado. Por fim, o problema foi identificado: a campainha da porta estava enviando spam! Leia mais sobre isso em “A malandragem da campainha!”.

Isso é coisa séria

Como é de se esperar, há também uma grande quantidade de solicitações de remoção feitas por agentes mal-intencionados… porque nem todos que são inseridos em uma lista de bloqueio são inocentes, longe disso.  Alguns de nossos pesquisadores foram ameaçados de morte — pura verdade. Quando você interfere nos lucros de um cibercriminoso, ele pode levar para o lado pessoal.

O que tudo isso tem a ver com você?

Mesmo que você não tenha ouvido falar da Spamhaus, nossos dados de reputação de domínio e IP protegem atualmente mais de 3 bilhões de usuários.

Esses dados estão integrados a vários aplicativos e softwares de segurança renomados.

Os provedores de serviços de internet e empresas de hospedagem usam esses dados para ajudar a identificar comportamentos maliciosos em suas redes.

Os pesquisadores, analistas e engenheiros do The Spamhaus Project são os guardiões silenciosos da internet. Piegas. Mas verdadeiro.

Uma observação para o pessoal técnico que está lendo isso — Eu sei que tomei certas liberdades na interpretação de DNS e e-mail. Estou ciente de que qualquer pessoa com conhecimento profundo da área vai esbravejar ao ler esse artigo. Por favor, me perdoem: adotei a abordagem KISS (“Keep it Simple, stupid” ou, em tradução livre, Mantenha simples) para ajudar os mais inexperientes a entender o que a Spamhaus faz. 🙂

___________________________

[1] Endereços IP: tudo que é conectado à internet tem um endereço IP, inclusive a campainha da portal! Veja os detalhes técnicos aqui: https://pt.wikipedia.org/wiki/Endereço_IP

[2] Domínios: o texto que é mapeado para um endereço IP. Veja os detalhes técnicos aqui: https://pt.wikipedia.org/wiki/Nome_de_domínio