СПОСОБ АНАЛИЗА ВРЕДОНОСНОЙ АКТИВНОСТИ В СЕТИ ИНТЕРНЕТ, ВЫЯВЛЕНИЯ ВРЕДОНОСНЫХ УЗЛОВ СЕТИ И БЛИЖАЙШИХ УЗЛОВ-ПОСРЕДНИКОВ

1. Способ обнаружения узлов-посредников в вычислительной сети, через которые распространяется вредоносное ПО, при этом узлы-посредники подключены к сети Интернет, к которой так же подключены вредоносные узлы, способ состоит из этапов:
а) в контролируемой среде исполнения получают URL адрес для анализа;
б) в контролируемой среде исполнения анализируют URL адрес путем запроса объекта информации по URL адресу посредством сетевого интерфейса с последующей загрузкой объекта информации с узла сети по полученному URL адресу;
в) действия по загрузке объекта информации из сети записывают в журнал событий;
г) исследуют URL адрес путем получения информации из сервисов, доступных в сети, полученные ответы на запросы к сервисам сохраняют в таблицу результатов исследования URL адресов, заполняют таблицу результатов исследования URL адресов с использованием журнала событий;
д) повторяют этапы а)-г) по крайней мере один раз;
е) если в контролируемой среде после исследования сайта по указанному URL не обнаружено вредоносных файлов и изменений системного реестра, то сайт считается безопасным;
ж) иначе сайт по указанному URL распространяет вредоносное ПО и является вредоносным узлом сети, строят граф распространения вредоносных данных от вредоносного узла к контролируемой среде исполнения, согласно информации из таблицы результатов исследования URL, при этом узлы графа - это адреса промежуточных узлов сети, а дуги - канал связи между узлами, имеющий вес соответствующий частоте использования канала для передачи вредоносного трафика от узла сети, который известен как вредоносный;
з) обнаруживают узел-посредник, через который распространяется вредоносное ПО, если частота использования канала связи от известного вредоносного узла сети к узлу-посреднику превышает соответствующую частоту использования канала связи для передачи вредоносного трафика, заносят в антифишинговую базу данных адрес обнаруженного узла-посредника, соединенного с каналом связи, используемым для передачи вредоносного трафика от узла сети, который известен как вредоносный;
и) рекурсивно повторяют этап з) обнаружения узлов-посредников в сети и заносят в антифишинговую базу данных адрес узла-посредника, связанного с каналом связи, используемым для передачи вредоносного трафика от ранее обнаруженного узла-посредника.
2. Способ по п.1 формулы, в котором контролируемая среда исполнения реализована в виртуальной машине, или в песочнице на компьютере пользователя, или межсетевом устройстве - маршрутизаторе или межсетевом экране.
3. Способ по п.1 формулы, в котором на этапе г) используют по меньшей мере один из сервисов traceroute, WHOIS, nslookup.
4. Способ по п.1 формулы, в котором на этапе г) запись в таблице результатов исследования URL содержит поля «Доменное имя», «IР адреса», «Е-mail адрес владельца», «Маршрут traceroute».
5. Способ по п.1 формулы, в котором контролируемая среда исполнения является виртуальной машиной.
6. Способ по п.5 формулы, в котором после этапа г) дополнительно выполняют этапы:
делают снимок результирующего состояния виртуальной машины и выявляют отличия от исходного состояния виртуальной машины;
если выявлены характерные для вредоносного ПО отличия результирующего состояния виртуальной машины, узел сети помечается как вредоносный.
7. Способ по п.1 формулы, в котором этапы з), и) дополнительно используют критерий оценки частоты использования канала для передачи вредоносного трафика, который заключается в минимум десятикратном посещении исследуемого URL адреса и в фиксации не менее 90% случаев передачи через канал связи вредоносного трафика.
8. Способ по п.1 формулы, в котором снимок состояния виртуальной машины отражает все изменения системного диска, системного реестра и оперативной памяти на тот момент времени, когда был сделан снимок состояния виртуальной машины.
9. Способ по п.1 формулы, в котором если в виртуальной машине после исследования сайта по указанному URL не обнаружено вредоносных файлов и изменений системного реестра, то сайт считается безопасным.
10. Способ по п.4 формулы, в котором после этапа загрузки страницы с узел сети в виртуальной машине выжидают некоторое время, для того, чтобы вредоносное ПО проявило себя путем записи новых файлов, или изменения веток системного реестра, или изменения оперативной памяти.
И. Способ по п.3 формулы, в котором на этапе ж) граф распространения вредоносных данных от вредоносного сайта к контролируемой среде исполнения строят путем соединяя маршрутов из поля «Маршрут traceroute» таблицы результатов исследования URL к одному и тому же вредоносному сайту.
12. Способ по п.1 формулы, в котором после загрузки объекта с узла сети загружают все ссылки, указанные в загруженном объекте.
13. Способ по п.12 формулы, в котором все ссылки, указанные в загруженном объекте загружают рекурсивно с глубиной вложенности 5 переходов по ссылкам.
14. Способ по п.12 формулы, в котором на этапе ж) граф распространения вредоносных данных от вредоносного узла сети к контролируемой среде исполнения строят путем соединения маршрутов переходов и переадресаций, приведших к посещению узла сети, известного как вредоносный.
15. Способ по п.3 формулы, в котором дополнительно после этапа и) из таблицы результатов исследования URL получают E-mail адреса владельцев адресов всех выявленных узлов-посредников, занесенных в антифишинговую базу данных, после чего дополнительно приравниваются к узлам-посредникам так же и все остальные узлы, имеющие совпадающий E-mail адреса владельца, заносят в антифишинговую базу данных адрес узла-посредника.
16. Способ по любому из пп.1-15 формулы, в котором дополнительно клиенты антифишинговой базы данных блокируют весь сетевой трафик, направленный к любому из адресов узлов-посредников.
17. Способ по п.16 формулы, в котором дополнительно предусмотрена разблокировка адресов узлов-посредников и удаление соответствующей записи в антифишинговой базе данных, если снизилась частота использования канала связи для распространения вредоносного ПО опускается ниже заданного порога, или перестал представлять угрозу сайт, с которого распространялось вредоносное ПО.