Технология, блокирующая DGA-домены | Блог Касперского

Для выявления почтового спама у нас работает множество технологий. Анализируется все: служебные заголовки, текст, иллюстрации, ссылки. Но первое, куда смотрят наши почтовые продукты — поле From. Если в адресе домен, уже попавший в наш лист блокируемых, то диагноз очевиден. Спамеры знают это, а потому в промышленном количестве регистрируют домены, чтобы письма даже в рамках одной рассылочной кампании приходили с абсолютно разных адресов. Делают они это, разумеется, не руками — процесс давно автоматизирован, алгоритмы злоумышленников регистрируют домены в огромном количестве за считаные минуты. Но у домена должно быть имя. Придумывать уникальное имя каждому нереально. Вот они и используют так называемые алгоритмы генерации доменных имен (Domain Name Generation, DGA), которые создают однотипные имена с небольшими вариациями (на основе даты и времени, псевдослучайных чисел и так далее).

Однако на самом деле, для того чтобы блокировать такие рассылки, совершенно необязательно, чтобы каждый адрес был в списке «плохих». Мы тоже умеем автоматизировать процессы. И в наших почтовых решениях уже некоторое время работает технология, позволяющая выявлять сгенерированные при помощи алгоритмов DGA домены и надежно блокировать всю их партию при помощи единого правила. Хочу чуть подробнее рассказать, как эта технология работает.

Как мы выявляем и блокируем сгенерированные имена доменов оптом

Как только какие-либо наши технологии выносят письму вердикт «спам», его адрес подвергается дополнительной проверке. Если он соответствует ряду критериев, мы добавляем его в базу доменов, которые считаем «плохими». Мы создали каскад классификаторов, который разбирает эти домены по схожести, группирует в кластеры и создает короткое (но емкое) правило, позволяющее блокировать кластер целиком. Соответственно, наши почтовые защитные решения с обновлением получают это правило и с этого момента блокируют все письма, отправленные с адресов на попадающих под него доменах, даже если они еще ни разу не использовались в нежелательных рассылках.

Вот как это выглядит на реальном примере. Среди доменов, попавших в коллекцию «плохих», классификатор выявил несколько похожих:

• sxkjcc.asia
• sxkjcd.asia
• sxkjcy.asia

Для их детектирования достаточно применить единое правило: @sxkjc[a-z0-9]\.asia\b

Как обезопасить компанию от спама

Согласно нашей аналитике, 44,9% писем, отправленных в прошлом году, были спамом. Ненужные и непрошенные письма отвлекают внимание сотрудников компаний, отнимают рабочее время, переполняют почтовые ящики, а в ряде случаев содержат мошеннический, фишинговый или вредоносный контент. Чтобы защитить корпоративных клиентов от этого вороха угроз, в наших решениях для защиты корпоративной почты работают и постоянно совершенствуются технологии борьбы со спамом. В том числе и описанная выше технология для блокирования доменов, сгенерированных при помощи DGA.