Прослушивание
Пустые адреса, где нечего спрашивать. Их всё равно спрашивают, непрерывно.
Самая простая из приманок и притом не самая бесполезная: адреса, на которых не работает ничего. Ни сайта, ни почты, ни служб. Обращаться туда некуда и незачем.
Тем не менее обращения идут непрерывно — это и есть постоянный фон интернета, который обычно не видно, потому что на обычном сервере он теряется среди нужного трафика.
Что мы из этого узнаём
Сканеры. Кто обходит адресное пространство подряд, с какой скоростью и что именно ищет.
Самораспространяющееся ПО. Заражённая машина перебирает адреса сама, без участия человека, и рано или поздно доходит до пустого.
Отголоски чужих атак. Это стоит объяснить отдельно. Когда атакующий подделывает обратный адрес, ответы жертвы летят не ему, а тому, чей адрес он подставил. Часть таких ответов приходит к нам — и по ним видно атаку, в которой мы не участвовали и жертву которой иначе бы не узнали.
Попытки эксплуатации. Обращения к служебным адресам приложений там, где никаких приложений нет.
Что попадает в отчёт
| Вид | Что означает |
|---|---|
scanner |
адрес обходит адресное пространство подряд |
attack |
попытки эксплуатации и сканирование портов |
Зачем нужен вид, по которому ничего не делают
Про scanner в отчёте прямо написано: делать ничего не нужно. Возникает разумный вопрос — зачем тогда его показывать.
Затем, чтобы не завышать оценку. Сканируют всех и постоянно, это ровный фон, одинаковый для любого адреса в интернете. Если бы фон добавлял адресу веса наравне с настоящими находками, то через месяц «подозрительными» оказались бы все подряд, и оценка перестала бы различать.
Выделенный вид scanner убирает фон из общей картины. Он нужен ровно для того, чтобы остальные виды что-то значили.
Тем же занимаются и добросовестные исследователи: значительная часть массового сканирования ведётся открыто, с представлением и с возможностью отказаться. Отличить их от остальных по одному лишь факту сканирования нельзя — потому вид и не считается обвинением.
Обновлено