 |
UDV Group: поиск скрытых майнеров в сети предприятия - анализ трафика и нагрузок
Михаил Пырьев, менеджер продукта UDV NTA, объяснил, почему сетевой анализ надёжнее агентов: майнеры скрываются на хосте, но выдают себя в сети. Рассказал о ключевых сетевых признаках: длительные сессии с пулами Monero, стабильная повторяемость трафика, аномалии TTL/RTT, DGA-домены. Что даёт сетевой анализ: под наблюдением оказываются сразу тысячи устройств.
Создатели вредоносных майнеров в большинстве случаев сосредоточены на сокрытии присутствия на конечном хосте, а не в сети. Именно поэтому сетевой анализ часто оказывается более надёжным и масштабируемым способом их выявления, особенно в крупных инфраструктурах.
С точки зрения сети скрытый майнинг, как правило, проявляется через устойчивый набор признаков: длительные сессии с майнинг-пулами конкретных криптовалют (наиболее часто Monero или Bitcoin), характерную структуру трафика с малыми объёмами данных, стабильной частотой отправки пакетов и высокой повторяемостью, а также нетипичные значения TTL и рост RTT. Дополнительно настораживают обращения к доменам, сгенерированным DGA-алгоритмами, и инфраструктуре, не характерной для бизнес-процессов организации.
Выявление майнинга по аномалиям загрузки CPU/GPU или энергопотребления с помощью агентных средств возможно, но на практике имеет ограничения. Установка агентов доступна не всегда, часть узлов может быть не охвачена мониторингом, а сама по себе повышенная нагрузка не всегда однозначно указывает на вредоносную активность – она может быть следствием изменений в рабочих процессах или конфигурации. Анализ сети в этом смысле даёт преимущество: под наблюдением оказываются сразу тысячи устройств, а признаки вредоносной активности фиксируются до того, как происходит заметное потребление ресурсов.
Скрытый майнинг условно делится на браузерный и хостовой. Браузерные варианты (например, Coinhive-подобные скрипты) используют HTTPS и WebSocket-соединения с backend-пулами и внешне могут напоминать обычную пользовательскую активность. Хостовые майнеры чаще маскируются под легитимные сервисы или облачную инфраструктуру, чтобы обойти межсетевые экраны и не выделяться на уровне сетевых политик. Однако ключевое отличие остаётся: поведение программы детерминировано и повторяемо, в то время как пользовательский трафик значительно менее предсказуем.
NDR/NTA-решения, анализирующие копию сетевого трафика, позволяют выявлять как отдельные признаки, так и устойчивые поведенческие закономерности, в том числе с использованием ретроспективного анализа. В связке с SIEM это даёт наибольшую практическую ценность: корреляция сетевых детектов с событиями хостового мониторинга и телеметрии позволяет формировать обоснованные инциденты ИБ, подтверждённые как внешним поведением узла, так и его внутренним состоянием.
На практике майнинг часто остаётся незамеченным месяцами из-за нехватки данных для принятия решений, опоры только на IoC или сигнатуры, либо недооценки самой угрозы. При этом важно учитывать, что кража вычислительных ресурсов нередко является лишь первым этапом – по тем же каналам в дальнейшем может осуществляться и компрометация данных.
Контактное лицо: UDV Group
Компания: UDV Group
Добавлен: 23:48, 08.05.2026
Количество просмотров: 188
Страна: Россия
| МегаФон ускорит интернет на «Пикнике Афиши», МегаФон, 16:10, 20.06.2026, Россия168 |
| Оператор обеспечит высокоскоростным мобильным интернетом десятки тысяч гостей фестиваля «Пикник Афиши», который пройдёт 20 июня в музее-заповеднике «Коломенское». |
| «1С-Рарус» в Нижнем Новгороде подтвердил статус «Центр сопровождения 1С», 1С-Рарус, 15:56, 20.06.2026, Россия173 |
| По результатам аудита нижегородский офис «1С‑Рарус» подтвердил статус «Центр сопровождения программ и информационных продуктов фирмы „1С“». Клиенты «1С-Рарус» получают рекомендованный фирмой «1С» уровень сервиса: регулярные обновления, консультации и поддержку по программам «1С:Предприятие» и сервисам 1С:ИТС. |
| ЯрПАПА шагает по стране 2026, АНО "Содружество семей", 15:56, 20.06.2026, Россия164 |
| Автономная некоммерческая организация «Содружество семей» совместно с Региональным отделением Всероссийского общественного движения «ОТЦЫ РОССИИ» Ярославской области объявляют о начале приема заявок на участие во Всероссийском конкурсе семейных видеороликов «ЯрПАПА шагает по стране-2026». |
|
|
