 |
UDV Group: поиск скрытых майнеров в сети предприятия - анализ трафика и нагрузок
Михаил Пырьев, менеджер продукта UDV NTA, объяснил, почему сетевой анализ надёжнее агентов: майнеры скрываются на хосте, но выдают себя в сети. Рассказал о ключевых сетевых признаках: длительные сессии с пулами Monero, стабильная повторяемость трафика, аномалии TTL/RTT, DGA-домены. Что даёт сетевой анализ: под наблюдением оказываются сразу тысячи устройств.
Создатели вредоносных майнеров в большинстве случаев сосредоточены на сокрытии присутствия на конечном хосте, а не в сети. Именно поэтому сетевой анализ часто оказывается более надёжным и масштабируемым способом их выявления, особенно в крупных инфраструктурах.
С точки зрения сети скрытый майнинг, как правило, проявляется через устойчивый набор признаков: длительные сессии с майнинг-пулами конкретных криптовалют (наиболее часто Monero или Bitcoin), характерную структуру трафика с малыми объёмами данных, стабильной частотой отправки пакетов и высокой повторяемостью, а также нетипичные значения TTL и рост RTT. Дополнительно настораживают обращения к доменам, сгенерированным DGA-алгоритмами, и инфраструктуре, не характерной для бизнес-процессов организации.
Выявление майнинга по аномалиям загрузки CPU/GPU или энергопотребления с помощью агентных средств возможно, но на практике имеет ограничения. Установка агентов доступна не всегда, часть узлов может быть не охвачена мониторингом, а сама по себе повышенная нагрузка не всегда однозначно указывает на вредоносную активность – она может быть следствием изменений в рабочих процессах или конфигурации. Анализ сети в этом смысле даёт преимущество: под наблюдением оказываются сразу тысячи устройств, а признаки вредоносной активности фиксируются до того, как происходит заметное потребление ресурсов.
Скрытый майнинг условно делится на браузерный и хостовой. Браузерные варианты (например, Coinhive-подобные скрипты) используют HTTPS и WebSocket-соединения с backend-пулами и внешне могут напоминать обычную пользовательскую активность. Хостовые майнеры чаще маскируются под легитимные сервисы или облачную инфраструктуру, чтобы обойти межсетевые экраны и не выделяться на уровне сетевых политик. Однако ключевое отличие остаётся: поведение программы детерминировано и повторяемо, в то время как пользовательский трафик значительно менее предсказуем.
NDR/NTA-решения, анализирующие копию сетевого трафика, позволяют выявлять как отдельные признаки, так и устойчивые поведенческие закономерности, в том числе с использованием ретроспективного анализа. В связке с SIEM это даёт наибольшую практическую ценность: корреляция сетевых детектов с событиями хостового мониторинга и телеметрии позволяет формировать обоснованные инциденты ИБ, подтверждённые как внешним поведением узла, так и его внутренним состоянием.
На практике майнинг часто остаётся незамеченным месяцами из-за нехватки данных для принятия решений, опоры только на IoC или сигнатуры, либо недооценки самой угрозы. При этом важно учитывать, что кража вычислительных ресурсов нередко является лишь первым этапом – по тем же каналам в дальнейшем может осуществляться и компрометация данных.
Контактное лицо: UDV Group
Компания: UDV Group
Добавлен: 23:48, 08.05.2026
Количество просмотров: 182
Страна: Россия
| Aladdin LiveOffice совместим с платформой Termidesk VDI 6.1.1, "Группа Астра", 23:13, 30.05.2026, Россия98 |
| Компании "Аладдин" и "Увеон – облачные технологии" (входит в "Группу Астра") объявляют о совместимости специализированного средства для безопасной дистанционной работы Aladdin LiveOffice с платформой для управления инфраструктурой виртуальных рабочих мест Termidesk VDI 6.1.1. |
| Первый БИТ стал генеральным партнером компании «ЭлНетМед», ЭлНетМед, 23:11, 30.05.2026, Россия101 |
| Российский интегратор бизнес-решений для здравоохранения «Первый БИТ» стал генеральным партнером компании «ЭлНетМед», разработчика интеграционной платформы N3.Health и крупнейшего оператора по передаче данных в ЕГИСЗ от частной медицины. |
| СИГМА — лауреат рейтинга Global CIO «Топ-100 ИТ-лидеров», ООО «СИГМА», 23:10, 30.05.2026, Россия58 |
| Константин Сипачев, директор департамента решений АСТУ СИГМЫ, вошел в число профессионалов, чей стратегический вклад в развитие российской ИТ-отрасли помогает выявлять лучшие практики, обмениваться знаниями и создавать отраслевые стандарты, что в условиях импортозамещения особенно важно. |
| «Группа Астра» проверила на ЦИПР уровень доверия облакам, "Группа Астра", 23:10, 30.05.2026, Россия150 |
| Недоверия к облакам уже нет, бизнес и провайдеры формируют новые правила игры. А «Группа Астра» представив собственное облако на российском процессоре Baikal-S, в котором безопасность заложена на уровне железа, активно строит новую реальность на этом рынке. |
|
|
