Kandadu: reglas de automatización para bloqueo de tráfico anómalo


#1

1. Introducción

kandadu dispone de un sistema de evaluación de tráfico asociado a las transacciones vista, y en gran medida al sistema GLD, que sirve como una antesala para evaluar volúmenes, destinatarios, etc, antes de dar paso, todo ello aplicado sólo a tráfico nuevo.

A continuación explicamos cuáles son las reglas de automatización, qué trafico son capaces de bloquear y en qué condiciones se aplican.

2. Reglas de automatización para el bloqueo de tráfico anómalo

Kandadu dispone de las siguientes reglas de automatización de bloqueo de tráfico y que funcionan para distintos casos. Cada una de estas reglas tienen un identificado de tipo (acción=1, acción=2, etc), para identificar mejor qué aplicó el bloqueo y bajo qué criterios:

  1. [regla acción=1] Bloquear GLD smtp con mismo destino y origen:

    Permite bloquear automáticamente IPs remitentes afectadas por cualquier regla GLD, en que estén utilizando como remitente el mismo valor que el destinatario.

    Característica: permite bloquear tráfico haciéndose pasar por el destinatario, indicándole fálsamente que la cuenta ha sido comprometida.

    Aplica: a la IP de origen de la transacción (source=).

    Requisitos para el bloqueo:

    • Que la IP de origen esté siendo bloqueada por una regla GLD
    • Que no se haya visto nunca anteriormente para el HUB consultado.
    • Que esté escribiendo a una cuenta de correo como destintario, usando el mismo valor para el remitente.
    • Protocolo: smtp
    • Contexto: cualquiera que no sea “helo” o “smtp:helo”.
  2. [regla acción=2] Bloquear GLD smtp usando misma dirección de origen y múltiples destinos:

    Permite bloquear direcciones IP remitentes que están siendo afectadas por una regla GLD, y dentro de ese tránsito, escribe a multiples direcciones destinatarias.

    Característica: permite bloquear tráfico de spam/phshing/hacking explosivo, repentino, desde ips nunca vistas antes, y contra múltiples destintarios en un espacio corto de tiempo.

    Aplica: a la IP de origen de la transacción (source=). También aplica al dominio base usado como sender= en caso de que dicho dominio base no sea conocido y coincida su uso en todos los registros GLD vistos para la IP remitente.

    Requisitos para el bloqueo:

    • Que la IP de origen esté siendo bloqueada por una regla GLD
    • Que no se haya visto nunca anteriormente para el HUB consultado.
    • Que el remitente IP escriba a distintas direcciones de destino estando afectado por una regla GLD.
    • Protocolo: smtp
    • Contexto: cualquiera que no sea “helo” o “smtp:helo”.
  3. [regla acción=3] Bloquear GLD smtp con dominio base de origen usado para múltiples instancias de origen:

    Permite bloquear dominios dominios base usados por cuentas de correo remitentes y urls remitentes, que están siendo bloqueadas por distintas reglas GLD, en un intento de randomizar cuentas y urls remitentes, creando distintos espacios GLD, pero realmente es el mismo atacante/spammer.

    Característica: permite bloquear dominios base cuando son usados para generar randomizaciones (xxxx@dominiobase.com, yyyy@dominiobase.com, zzz@sender.dominiobase.com).

    Aplica: cualquier dominio base dado soporte a dominios y cuentas de correo afectadas por reglas GLD (source=).

    Requisitos para el bloqueo:

    • Que el dominio base esté dando soporte a cuentas de correo y otros subdominios afectados por reglas GLD.
    • Que no se haya visto nunca anteriormente dicho dominio base para el hub consultado.
    • Protocolo: smtp
    • Contexto: cualquiera que no sea “helo” o “smtp:helo”.
  4. [regla acción=4] Notificar si se rechaza (incluye rechazos GLD temporales):

    Regla para activar el sistema de notificación de rechazo. Vea más detalles en: