Uma assinatura de tráfego de rede, também conhecida como assinatura de rede ou simplesmente uma assinatura, é um conjunto de características que identificam exclusivamente um tipo específico de atividade ou aplicação de rede. Essas características podem ser usadas por sistemas de detecção de intrusões (IDs) e sistemas de prevenção de intrusões (IPs) para detectar atividade maliciosa ou indesejada. Uma assinatura normalmente inclui uma combinação dos seguintes elementos:
* Protocolo
: O protocolo de rede utilizado (por exemplo, TCP, UDP, ICMP). Este é um elemento fundamental.
*
números de porta: Os números de porta de origem e destino. Portas específicas são frequentemente associadas a aplicações específicas (por exemplo, porta 80 para HTTP, porta 443 para HTTPS).
*
dados de carga útil: Partes dos dados reais que estão sendo transmitidos. Isso pode ser palavras -chave específicas, sequências de bytes ou padrões de correspondência regulares de expressões nos dados. Esta é geralmente a parte mais específica da assinatura, direcionando cargas úteis de ataque conhecidas ou código malicioso.
*
Endereços IP: Os endereços IP de origem e destino. Embora menos confiável por si só (facilmente falsificado), pode ser útil em conjunto com outros elementos.
*
Tamanho e estrutura do pacote: O tamanho dos pacotes e o arranjo de dados dentro deles. Tamanhos ou estruturas incomuns de pacotes podem indicar atividade maliciosa.
*
Tempo/Frequência: A taxa na qual os pacotes são enviados. Uma explosão repentina de pacotes ou um fluxo consistente de pacotes em uma frequência específico pode ser suspeito.
* sinalizadores
: Os sinalizadores TCP (SYN, ACK, FIN, etc.) podem revelar o estado de uma conexão e indicar comportamento incomum.
*
Dados específicos do aplicativo: Informações específicas para o aplicativo envolvido, como cabeçalhos HTTP ou comandos FTP. São assinaturas altamente específicas que identificam com precisão comportamentos maliciosos de um aplicativo específico.
É importante observar que a complexidade e a especificidade de uma assinatura variam dependendo da situação. Algumas assinaturas são muito amplas e detectam atividades suspeitas gerais, enquanto outras são altamente específicas e têm como alvo uma vulnerabilidade ou exploração específica. Uma assinatura bem elaborada visa alta precisão (poucos falsos positivos) e alta taxa de detecção (poucos falsos negativos). O equilíbrio entre esses dois é crítico na segurança eficaz.
