1. Introducción
kandadu dispone de un sistema de evaluación de tráfico asociado a las transacciones vista, y en gran medida al sistema GLD, que sirve como una antesala para evaluar volúmenes, destinatarios, etc, antes de dar paso, todo ello aplicado sólo a tráfico nuevo.
A continuación explicamos cuáles son las reglas de automatización, qué trafico son capaces de bloquear y en qué condiciones se aplican.
2. Reglas de automatización para el bloqueo de tráfico anómalo
Kandadu dispone de las siguientes reglas de automatización de bloqueo de tráfico y que funcionan para distintos casos. Cada una de estas reglas tienen un identificado de tipo (acción=1, acción=2, etc), para identificar mejor qué aplicó el bloqueo y bajo qué criterios:
-
[regla acción=1] Bloquear GLD smtp con mismo destino y origen:
Permite bloquear automáticamente IPs remitentes afectadas por cualquier regla GLD, en que estén utilizando como remitente el mismo valor que el destinatario.
Característica: permite bloquear tráfico haciéndose pasar por el destinatario, indicándole fálsamente que la cuenta ha sido comprometida.
Aplica: a la IP de origen de la transacción (source=).
Requisitos para el bloqueo:
- Que la IP de origen esté siendo bloqueada por una regla GLD
- Que no se haya visto nunca anteriormente para el HUB consultado.
- Que esté escribiendo a una cuenta de correo como destintario, usando el mismo valor para el remitente.
- Protocolo: smtp
- Contexto: cualquiera que no sea “helo” o “smtp:helo”.
-
[regla acción=2] Bloquear GLD smtp usando misma dirección de origen y múltiples destinos:
Permite bloquear direcciones IP remitentes que están siendo afectadas por una regla GLD, y dentro de ese tránsito, escribe a multiples direcciones destinatarias.
Característica: permite bloquear tráfico de spam/phshing/hacking explosivo, repentino, desde ips nunca vistas antes, y contra múltiples destintarios en un espacio corto de tiempo.
Aplica: a la IP de origen de la transacción (source=). También aplica al dominio base usado como sender= en caso de que dicho dominio base no sea conocido y coincida su uso en todos los registros GLD vistos para la IP remitente.
Requisitos para el bloqueo:
- Que la IP de origen esté siendo bloqueada por una regla GLD
- Que no se haya visto nunca anteriormente para el HUB consultado.
- Que el remitente IP escriba a distintas direcciones de destino estando afectado por una regla GLD.
- Protocolo: smtp
- Contexto: cualquiera que no sea “helo” o “smtp:helo”.
-
[regla acción=3] Bloquear GLD smtp con dominio base de origen usado para múltiples instancias de origen:
Permite bloquear dominios dominios base usados por cuentas de correo remitentes y urls remitentes, que están siendo bloqueadas por distintas reglas GLD, en un intento de randomizar cuentas y urls remitentes, creando distintos espacios GLD, pero realmente es el mismo atacante/spammer.
Característica: permite bloquear dominios base cuando son usados para generar randomizaciones (xxxx@dominiobase.com, yyyy@dominiobase.com, zzz@sender.dominiobase.com).
Aplica: cualquier dominio base dado soporte a dominios y cuentas de correo afectadas por reglas GLD (source=).
Requisitos para el bloqueo:
- Que el dominio base esté dando soporte a cuentas de correo y otros subdominios afectados por reglas GLD.
- Que no se haya visto nunca anteriormente dicho dominio base para el hub consultado.
- Protocolo: smtp
- Contexto: cualquiera que no sea “helo” o “smtp:helo”.
-
[regla acción=4] Notificar si se rechaza (incluye rechazos GLD temporales):
Regla para activar el sistema de notificación de rechazo. Vea más detalles en: