Detecci%C3%B3n_APT

Como se puede observar en la ilustración anterior, existen dos respuestas DHCP
ACK enviadas, prácticamente a la vez. Con lo que dicho comportamiento resulta
sospechoso.
Para detectar este tipo de ataques una solución es añadir firmas en el IDS que está
monitorizando el segmento de red de interés. Existen firmas para detectar Rogue
DHCP Server, pero deben introducirse con precaución por la cantidad de falsos
positivos que estas generan.
102
6.2.1.2. Capa de Red
6.2.1.2.1. Capa de Red. Geolocalización
La monitorización del tráfico de red a nivel de geolocalización para la detección de
anomalías es un factor importante que nos puede permitir la identificación de
malware dirigido.
Por ejemplo, se detecta que un usuario de una empresa realiza conexiones
salientes desde su equipo empleando el protocolo seguro SSL hacia Rusia, país con
el que esta empresa no tiene ninguna relación. Como poco, esta conexión resulta
sospechosa, y más aún si se detecta que fue realizada en horario no laboral. Sería
necesario, por tanto una comprobación del motivo de esta conexión para descartar
que fuera ilícita.
Es posible dotar a nuestros sistemas de detección de intrusos y herramientas de
monitorización de tráfico, sistemas de geolocalización que nos identifiquen la
ubicación geográfica de cada IP con la que establecemos una conexión. Es
importante tener en cuenta esta monitorización geográfica sobre todo para las
conexiones salientes. Cada empresa u organización debe conocer cuales son los
patrones habituales de conexiones que realizan sus equipos hacia según que
países. Así, una empresa que por ejemplo realice comercio exterior de manera
habitual con países como China o Rusia, ver conexiones desde su red hacía esos
países no supondría una alarma aunque lo aconsejable es que si esas conexiones
son puntuales y siempre hacia las mismas direcciones IP (proveedores, clientes,
otra sede de la empresa, etc.) se añadan éstas a una lista blanca y se monitoricen
el resto.