Синкхолинг (sinkholing) — защитная техника, при которой трафик, предназначенный вредоносным доменам или IP-адресам, перенаправляется на сервер исследователей или правоохранительных органов, отрезая вредонос от его операторов.
Как работает синкхолинг
Большинство вредоносных программ связывается со своим командным сервером по доменному имени. Если защитники получают контроль над этим доменом — зарегистрировав его первыми, в сотрудничестве с регистратурой или по решению суда, — они направляют его на собственный сервер-«поглотитель» (sinkhole). Заражённые машины подключаются к нему вместо преступников и больше не получают команд. Основные варианты:
- Синкхолинг доменов — изменение DNS-записей изъятых или заранее зарегистрированных вредоносных доменов.
- DNS-синкхолы внутри компании — внутренний резолвер возвращает безопасный адрес для известных вредоносных доменов, как в DNS-фаерволах и зонах политики ответов (RPZ).
- Синкхолинг IP или BGP — перенаправление трафика на диапазон адресов на сетевом уровне.
Почему синкхолинг важен
Синкхолы разрушают ботнеты и заодно показывают, сколько устройств заражено и где, ведь каждый бот обращается к синкхолу. По этим журналам исследователи уведомляют провайдеров и жертв. Известные случаи:
- Conficker (2009) — отраслевая рабочая группа заранее регистрировала домены, которые червь генерировал каждый день.
- WannaCry (2017) — исследователь Маркус Хатчинс зарегистрировал найденный в коде незанятый домен, который сработал как «стоп-кран» и остановил распространение программы-вымогателя.
- Avalanche (2016) — международная операция правоохранительных органов изъяла и перенаправила на синкхолы сотни тысяч доменов преступной инфраструктуры.
Ограничения
Авторы вредоносов отвечают алгоритмами генерации доменов (DGA), жёстко прописанными IP-адресами, P2P-сетями и резервными каналами. Кроме того, синкхолинг не лечит заражённые машины, а лишь нейтрализует их, пока владельцев не уведомят и они не удалят вредонос.
