Система и способ обнаружения удаленного управления средством удаленного администрирования с использованием сигнатур

1. Способ обнаружения удаленного управления средством удаленного администрирования, в соответствии с которым
а. проводят сбор данных, связанных с клавиатурным вводом, во время сессии с удаленным устройством;
б. проводят сравнение собранных данных с сигнатурами, при этом сравнение включает анализ событий клавиатурного ввода из собранных данных и поиск определенной последовательности событий клавиатурного ввода;
в. в случае совпадения по крайней мере с одной сигнатурой, проводят выявление активности, характерной для удаленного управления средством удаленного администрирования.
2. Способ по п. 1, в котором сбор данных осуществляют таким образом, чтобы обеспечить невозможность идентификации персональных данных пользователя.
3. Способ по п. 2, в котором обеспечение невозможности идентификации персональных данных осуществляют за счет сбора только информации о группе клавиш, используемых клавишах-модификаторах и типе действия, при этом сбор информации о непосредственно самой клавише не осуществляется.
4. Способ по п. 1, в котором собираемыми данными по крайней мере являются события, связанные с клавиатурным вводом, и информация о контексте, при котором произошли события.
5. Способ по п. 4, в котором информация о контексте содержит по крайней мере информацию об операционной системе, браузере, приложениях, взаимодействующих с браузером, и использующемся средстве удаленного администрирования.
6. Способ по п. 4, в котором события, связанные с клавиатурным вводом, относятся к событиям, связанным с локальной клавиатурой или с клавиатурой устройства, с которого осуществляется удаленное управление инструментом RAT.
7. Способ по п. 6, в котором указанные клавиатуры является физической или виртуальной клавиатурой.
8. Способ по п. 1, в котором дополнительно удаленное устройство предоставляет онлайн финансовые услуги и является по крайней мере банковским сервером или сервером онлайн-магазина.
9. Способ по п. 1, в котором дополнительно последовательности событий клавиатурного ввода характерны для удаленного управления средством удаленного администрирования и в тоже время не характерны для физического или виртуального ввода пользователем с локального устройства ввода.
10. Способ по п. 1, в котором сигнатура представляет собой последовательность событий клавиатурного ввода с временным условием и индикатором начала отсчета для расчета заданного временного условия.
11. Способ по п. 10, в котором клавиатурный ввод характеризуется нажатием и отпусканием клавиш клавиатуры, а временное условие характеризует задержки между соседними событиями нажатия или отпускания клавиш.
12. Способ по п. 1, в котором обнаружение удаленного управления средством удаленного администрирования осуществляется на мобильном устройстве.
13. Система обнаружения удаленного управления средством удаленного администрирования, которая включает
а. скрипт, выполняющийся в браузере, который установлен на компьютерном устройстве, при этом скрипт предназначен для отслеживания и сбора данных, связанных по крайней мере с событиями клавиатурного ввода и контекстом указанных событий, которые передает средству обнаружения;
б. средство обнаружения, выполняющееся на сервере безопасности и включающее компоненты: модуль анализа данных, модуль вынесения решения и базу данных, которая содержит по крайней мере сигнатуры, при этом
i. модуль анализа данных предназначен для анализа полученных данных, во время которого определяет для каждого события группу нажимаемой клавиши, распознает тип совершаемой операции и определяет временное условия между событиями, после чего формирует последовательности событий клавиатурного ввода с соответствующим контекстом;
ii. модуль вынесения решения предназначен для сравнения сформированных последовательностей событий клавиатурного ввода с сигнатурами из базы данных, и при выявлении совпадения по крайней мере с одной сигнатурой выносит решение об удаленном управлении средством удаленного администрирования.
14. Система по п. 13, в которой собираемые данные не содержат информацию о непосредственно нажатых клавишах, а содержат информацию о группе клавиш, используемых клавишах-модификаторах и типе действия, происходящего с клавишей.
15. Система по п. 13, в которой сигнатура представляет собой последовательность событий клавиатурного ввода с временным условием и индикатором начала отсчета для расчета заданного временного условия.
16. Система по п. 15, в которой последовательность событий клавиатурного ввода характерны для удаленного управления средством удаленного администрирования и в тоже время не характерны для физического или виртуального ввода пользователем с локального устройства ввода.
17. Система по п. 13, в которой клавиатурный ввод характеризуется нажатием и отпусканием клавиш клавиатуры, а временное условие характеризует задержки между соседними событиями нажатия или отпускания клавиш.
18. Система по п. 17, в которой указанная клавиатура является физической или виртуальной клавиатурой.