Acabando com mitos sobre listas de bloqueio

1. Listas de bloqueio são tecnologicamente antiquadas

O mecanismo de entrega de DNSBLs existe há anos. Contudo, a inteligência de ameaças que se incorpora às listas de bloqueio evolui continuamente para refletir os novos perigos que espreitam, bem como os meios pelos quais os dados são pesquisados e publicados.

Provado e comprovado

Existe uma grande diferença entre “antigo e desatualizado” e “provado e comprovado”. Não podemos negar que o mecanismo de entrega de dados de listas de bloqueio, ou seja, via zona DNS, tem décadas de existência.  De fato, a primeira DNSBL foi criada em 1997 por Eric Ziegast, enquanto trabalhava no MAPS com o seu fundador, Paul Vixie.

Mas — e esse é um grande MAS —, as DNSBLs são mecanismos leves, sólidos e convenientes para a entrega em tempo real de dados relacionados a IPs, domínios e conteúdo.  Elas estão em sempre desenvolvimento para combater atividades online nefastas.

Novas tecnologias de pesquisa

Os primórdios da criação da lista de bloqueio envolviam horas de incansáveis pesquisas manuais e processos heurísticos.  Hoje, o machine learning nos permite processar uma quantidade cada vez maior de dados que nossos pesquisadores continuam investigando manualmente e aplicando procedimentos heurísticos a eles.

Os tipos de datasets que são produzidos também estão avançando.  Além dos dados de reputação de domínio e IP, listas de bloqueio de hash são compiladas, permitindo que um conteúdo específico, como endereços de e-mail, arquivos de malware e endereços de carteira de criptomoeda, seja listado.

Com o uso de novas ferramentas e tecnologias, continuamos identificando vetores de ataque e maus comportamentos, ao mesmo tempo em que limitamos o número de falsos positivos.  Dedicamos uma quantidade considerável de recursos para avançar nossas habilidades de caça a ameaças, permitindo que nossos clientes se concentrem em outras áreas.

Ainda que o mecanismo de entrega de DNSBL seja considerado “antigo”, os dados em si são cuidadosamente analisados usando técnicas e tecnologias das mais recentes para oferecer dados de reputação de IP, domínio e conteúdo que protegem contra as ameaças atuais.

2. Listas de bloqueio só barram spam

Hum, não.  As DNSBLs podem filtrar todos os tipos de ameaças oriundas de e-mails, incluindo links de phishing, arquivos de malware, bots e URLs de sites instaladores de malware. Spam é só a ponta do iceberg.

Esclarecimento   

Primeiro, vamos definir spam…. Obviamente, não estamos nos referindo à marca americana de apresuntado.  Estamos falando de e-mails não solicitados enviados em massa a um grande número de destinatários.

Muitas pessoas consideram o termo spam como um termo genérico que engloba uma superabundância de e-mails distribuídos que chegam aos limites da inutilidade, vendendo fármacos, sexo e prazeres, entre outras coisas desnecessárias.

O e-mail é também um vetor para questões mais sinistras, como arquivos de malware (94% dos quais são entregues por e-mail), ransomware, sites de phishing… e a lista só cresce. As listas de bloqueio podem mitigar esses e outros riscos.

Bloqueio de arquivos de malware 

E-mails que têm arquivos de malware anexados a eles podem ser bloqueados com o componente de malware mencionado anteriormente: lista de bloqueio de hash. Essa lista engloba hashes criptográficos de arquivos de malware. Os pesquisadores da Spamhaus podem gerar entradas de arquivos de malware em 20 segundos a partir do momento em que são observados.

Bloqueio de domínios

++Listas de bloqueio de domínio (DBL)++ contêm listas de domínios que não são apenas associados ao envio de spam, mas também associados a phishing, malware e botnet CCs.

Bloqueio de máquinas comprometidas

Nossa ++lista de bloqueio de exploits (XBL)++ lista apenas os endereços IP (aproximadamente 13 milhões deles) que mostram sinais de comprometimento, ou seja, computadores infectados com malware, worm e cavalo de troia, ou exploits de terceiros, como proxies abertos ou dispositivos controlados por botnets.

Você vai notar que não há nenhuma menção à palavra “˜spam” na ladainha dos malfeitores da internet.  Quando uma máquina é comprometida, é bem provável que uma atividade criminosa ocorra em seguida, incluindo o envio indiscriminado de e-mails com anexos de malware a todos os contatos disponíveis para maior propagação e aumento de alcance ou para o download de credenciais financeiras e dados de login.

Deu para ter uma ideia?

Nós poderíamos continuar, mas acredito que conseguimos provar que as listas de bloqueio filtram muito mais do que spams!

3. Quando as entradas são adicionadas à lista de bloqueio, já é tarde demais

A crença de que listas de bloqueio são puramente reativas, ou seja, um IP, domínio ou hash só é listado quando um comportamento malicioso é observado, está incorreta — simples assim!

A Spamhaus passa um tempo significativo investigando ambientes e recursos da internet.  Nossos pesquisadores buscam continuamente indicadores que sugiram que uma propriedade está prestes a participar de uma atividade maliciosa.  Eis aqui alguns exemplos de proatividade das listas de bloqueio:

Intervalos IP sequestrados

Quando observamos um intervalo IP sequestrado, é (quase) certo que atividades nefastas envolvendo esse intervalo virão a seguir. Portanto, colocaremos o intervalo ou intervalos IP específicos na lista para bloquear possíveis vetores de ataque que possam ser lançados.

Baixa reputação de domínio

A Spamhaus recebe listas de domínios, como e quando registrados, e nós investigamos proativamente as suas várias propriedades.  A partir dessa análise, nossos pesquisadores podem pontuar a reputação do domínio, avaliando a probabilidade dele ser usado com pretensões maléficas. Antes de saírem desenfreados pelo mundo, eles são incluídos na lista de domínios.

Domínios recém-registrados

Nossa ++Lista de bloqueio de domínio de reputação zero (ZRD)Lista de bloqueio de domínio de reputação zero (ZRD)++ relaciona todos os domínios recém-registrados em 24 horas.  Quando um novo domínio é registrado, inicialmente, é improvável que e-mails sejam enviados de imediato a partir dele, a menos que esteja sendo usado por agentes mal-intencionados, que registram e cancelam centenas de milhares de domínios.

Intervalos IP que não deveriam enviar e-mails

A lista de bloqueio de política (PBL) que a Spamhaus respalda permite que os provedores de serviços de internet (ISPs) registrem intervalos de endereços IP que nunca deveriam enviar e-mails diretamente à internet.  Essa é uma lista de bloqueio inteiramente proativa.

Inteligência reativa ainda pode proteger

A Spamhaus reduziu a latência, portanto, quando os ataques ocorrem, demora menos de 20 segundos entre a detecção e a inclusão do IP, domínio ou hash na lista.  Para campanhas maiores e mais agressivas, nossos dados talvez não protejam os usuários atingidos no início do ataque, mas no caso de uma campanha de hailstorm, que é executada por cerca de 5 minutos, 90% dos que forem afetados terão proteção.

4. Todas as listas de bloqueio são criadas da mesma forma

Isso está longe de ser verdade. Se você chegou até aqui, logo perceberá (se é que já não notou) que nenhuma lista de bloqueio é igual.  Cada uma delas tem políticas de listagem distintas, ou seja, os critérios usados para decidir se algo deve ou não ser incluído na lista.  Da mesma forma, as organizações que pesquisam e compilam listas de bloqueio não são as mesmas. Ainda que criar uma lista de bloqueio seja relativamente fácil, manter a consistência é difícil (e crucial).

Diferentes ameaças e diferentes locais para aplicar os dados

Como cada lista de bloqueio tem um foco diferente, elas precisam ser aplicadas à parte certa de uma transação de e-mail. Por exemplo, usar a lista PBL em análises profundas de cabeçalho seria uma receita desastrosa. Siga as nossas práticas recomendadas para assegurar que as esteja implementando corretamente.

Diferentes perfis de risco pedem diferentes listas de bloqueio

Certifique-se de sempre entender a funcionalidade de cada lista de bloqueio que usar.  A Spamhaus, por exemplo, tem uma seção intitulada “Abused legit” na lista DBL.  Nela estão relacionados os recursos legítimos que são atacados por hackers.  Você pode optar por ignorar ou agir na resposta à consulta pertinente a essa parte da DBL. Fique atento, pois que isso pode acabar aumentando as chances de falsos positivos.  Você precisa ponderar a inclinação da sua organização para os riscos ou questões operacionais relacionadas ao maior número de falsos positivos.

A consistência reina

Quando se trata de listas de bloqueio, o que os provedores precisam é de consistência.  Cada listagem precisa aderir às suas políticas específicas, sempre que usada, o que não é fácil.

5. Listas de bloqueio deveriam ser usadas apenas durante a transação SMTP

Incorreto! Suponhamos que você use listas de bloqueio apenas durante a transação SMTP. Nesse caso, você perde a oportunidade de escrutinar diversos elementos, como URLs, endereços de e-mail para resposta, arquivos enviados como anexos, etc., com base nos dados de reputação.

Embora seja verdade dizer que o estágio SMTP em si pode bloquear 95% ou mais de spam, uma pequena fração de mensagens sórdidas carregando ameaças ainda pode passar.

6. Listas de bloqueio deveriam ser usadas apenas durante a análise de conteúdo

Não!  Se estiver usando listas de bloqueio apenas durante a análise de conteúdo, você está perdendo uma grande oportunidade de usufruir de uma queda percentual drástica e imediata (está vendo aquele 95% acima?) de e-mails indesejados na conexão inicial do IP e durante a transação SMTP antes da transferência de dados.

Dar fim a e-mails maliciosos antes que cheguem ao oneroso estágio de filtragem de conteúdo lhe permite economizar em largura de banda, reduzindo significativamente o número de conexões abertas, conservando espaço de armazenamento e beneficiando-se da redução geral nos requisitos de memória e CPU.

7. Apenas listas de bloqueio de IP deveriam ser usadas para filtrar e-mails durante a transação SMTP

De forma alguma!  Como já falamos, a Spamhaus lista um número de domínios antes que eles se tornem públicos.  Portanto, consultas às listas DBL e ZRD nos estágios apropriados da transação SMTP oferecem proteção proativa adicional.

Qual mito você gostaria de esclarecer?

Já esclarecemos muitos por um dia.  Caso saiba de outros mitos relacionados a listas de bloqueio e à Spamhaus, entre em contato conosco pelo Twitter ou LinkedIn — vamos adorar acabar com eles também.