Detecci%C3%B3n_APT

las primeras fases de comunicación SSL viajan en claro y que por tanto puede
inspeccionarse dicho tráfico para intentar averiguar si el tipo de conexión es
legítimo o no. En ocasiones puede que aunque se trate de tráfico SSL, existen
ciertas características del mismo que pueden ayudarnos a detectar conexiones
sospechosas. En la siguiente salida, un Common Name aleatorio en uno de los
certificados SSL fue suficiente para detectar una conexión realizada por cierto
malware.
TR@Rivendell:~# tshark -i eth0 -R "ssl.handshake.certificates" -V | grep -i commonname=
CaptURIng on eth0
Certificate (id-at-commonName=rrasSdfaWWaaFA.dDazf.ru,id-atorganizationName=rrasSdfaWWaaF,id-at-countryName=ru)
Véase un caso similar en el que a partir de tráfico SSL es posible detectar reverse
shells vía HTTPS 142 .
CASO 4
En este caso, se ha restringido una vez más la topología de red. En concreto, y en
relación al Caso 3 se ha denegado el tráfico saliente con excepción del tráfico
UDP. Ya que la DMZ consta de un servidor Bind que necesita hacer solicitudes DNS
al exterior se ha permitido únicamente este tipo de tráfico al exterior evitando así
cualquier otro tipo de conexión TCP iniciada desde la DMZ.
142 How to detect reverse https backdoors
http://www.netresec.com/?page=Blog&month=2011-07&post=How-to-detect-reverse_https-backdoors
85