Стандартный запрос разрешения доменного имени в IP-адрес. DNS-запросы типа A (IPv4), AAAA (IPv6), MX (почта), CNAME (псевдонимы) — нормальная работа сети.
Стандартный веб-трафик. HTTP (порт 80) — открытый текст, HTTPS (443) — зашифрованный TLS. HTTPS является нормой для корпоративных сетей.
Автоматическое назначение IP-адреса, маски подсети, шлюза и DNS-серверов клиентам при подключении к сети. Процесс: DISCOVER → OFFER → REQUEST → ACK.
Network Time Protocol — синхронизирует системные часы клиентов с серверами точного времени. Критически важен для SSL-сертификатов, Kerberos и логирования событий.
Стандартный ICMP Echo Request (тип 8) и Echo Reply (тип 0). Используется для проверки доступности хостов и измерения задержки. Нагрузка: обычно 56–64 байта.
Secure Shell — зашифрованный протокол для удалённого управления серверами, передачи файлов (SCP/SFTP) и туннелирования. Весь трафик зашифрован.
Стандартные почтовые протоколы: SMTP (отправка) — порт 25/587/465, IMAP (получение, синхронизация папок) — 143/993, POP3 (загрузка) — 110/995. Шифрованные варианты на портах с S.
Border Gateway Protocol — протокол маршрутизации между автономными системами (AS) в интернете. Отвечает за глобальную маршрутизацию интернет-трафика. Используется только на граничных маршрутизаторах.
Open Shortest Path First — протокол динамической маршрутизации внутри автономной системы. Использует алгоритм Дейкстры. Работает поверх IP (protocol 89), не TCP/UDP.
Address Resolution Protocol — отображение IP-адреса в MAC-адрес в пределах локальной сети. ARP Request (broadcast) + ARP Reply (unicast) — нормальный процесс. Каждый IP отвечает одним уникальным MAC.
HTTP-трафик на портах отличных от 80 и 443 (например, 8080, 8888, 3000, 5000). Может быть легитимным (API серверы, dev-среды), но также используется вредоносным ПО для обхода фаервола.
Пакеты ICMP с полезной нагрузкой значительно больше стандартной (>1000 байт) могут использоваться для скрытой передачи данных (ICMP tunneling, data exfiltration). Стандартный ping — 64 байта данных.
Передача учётных данных по незашифрованным протоколам. FTP (21), Telnet (23), HTTP Basic Auth, SMTP без TLS. В 2024 году использование таких протоколов должно считаться нарушением политики безопасности.
DNS-запросы к серверам, которые не являются корпоративными DNS или известными публичными (8.8.8.8, 1.1.1.1). Может указывать на вредоносное ПО, использующее собственные DNS для C2 или обхода корпоративной фильтрации.
Зашифрованные соединения к доменам, зарегистрированным менее 30 дней назад. Злоумышленники часто регистрируют новые домены для C2-серверов. TLS SNI (Server Name Indication) позволяет видеть домен даже в HTTPS.
Систематическое зондирование портов хоста для определения открытых сервисов. SYN-scan (половинное соединение): отправляет SYN, при получении RST/ACK фиксирует закрытый порт. Характерен высокий темп SYN-пакетов к множеству портов.
Атака Man-in-the-Middle на уровне L2. Злоумышленник рассылает поддельные ARP Reply, связывая свой MAC-адрес с IP-адресом шлюза. Весь трафик жертвы проходит через атакующего. Признак: один IP с несколькими MAC-адресами.
Скрытая передача данных или управление вредоносным ПО через DNS-запросы. Данные кодируются в субдоменах (Base32/64). Признаки: большие TXT-записи, необычно длинные доменные имена (>50 символов), высокая частота запросов к одному домену.
Внедрение SQL-кода в параметры HTTP-запроса для несанкционированного доступа к базе данных. Признаки: наличие ключевых слов UNION, SELECT, DROP, OR 1=1 в URL или POST-теле. Обнаруживается в HTTP-трафике (порт 80, незашифрованный).
Периодические исходящие соединения вредоносного ПО к серверу управления и контроля (C2/C&C). Характерны регулярные интервалы (jitter ±10-20%), соединения к необычным IP, малый объём данных в каждом запросе. Часто использует HTTP/HTTPS для маскировки.
Эксплуатация уязвимости в протоколе SMBv1. EternalBlue (CVE-2017-0144) — инструмент АНБ, использованный в WannaCry и NotPetya. Признаки: SMB-соединения на порт 445 с нестандартными запросами Trans2, аномальные payload-размеры.
Атака типа «отказ в обслуживании»: злоумышленник отправляет огромное количество SYN-пакетов с поддельными IP-адресами, переполняя очередь незавершённых соединений (SYN backlog) сервера. Характерны тысячи SYN в секунду с разных IP.
Методы сканирования портов, которые могут обходить некоторые брандмауэры. NULL Scan: отправка пакетов без флагов (tcp flags = 0). XMAS Scan: все флаги установлены (FIN+URG+PSH). Открытые порты не отвечают, закрытые отвечают RST.
Исходящие соединения от внутренних хостов к внешним IP на портах >10000 или 49152–65535. Легитимные сервисы редко используют такие порты для входящих соединений извне. Часто признак C2-канала или reverse shell.
Соединение, инициированное скомпрометированным хостом к внешнему серверу злоумышленника, предоставляющее интерактивную командную оболочку. Признаки: долгое TCP-соединение, небольшие пакеты туда-обратно (интерактивный ввод), нестандартные порты.
Несанкционированная передача данных за пределы сети. Признаки: аномально большой исходящий трафик с конкретного хоста, передача данных в ночное время, ZIP/RAR-файлы через HTTP, большие DNS-запросы, шифрованный трафик к незнакомым IP.