¿Cómo rastrean los investigadores el origen de un ciberataque que utiliza el enrutamiento de cebolla?

Hay varias formas que son bastante fáciles.

El Método Técnico 1: requiere muchos recursos.
Como sabe, no importa cómo se conecte a un sitio, siempre hay una conexión lógica desde su computadora al sitio al que se está conectando. Con el enrutamiento de cebolla estás conectado a través de otros dos dispositivos. El dispositivo no sabe si usted es el creador de la conexión o simplemente otra conexión que transmite el mensaje de otra persona.

Bueno, esa es la teoría, pero en la práctica podemos determinar si usted es el creador o no. Imagine que tengo dos puntos de enrutamiento y usted se conecta a uno, le paso el mensaje a mi próximo centro y pasa el mensaje a su destino. Sé que originó el mensaje y sé a dónde se conectó. Las agencias como el FBI, la CIA, la NSA, el GCHQ y muchas otras ejecutan centros de enrutamiento en Tor y otros servicios basados ​​en cebolla; de hecho, la mayoría de los servidores que transmiten sus mensajes probablemente pertenecen a alguna agencia gubernamental. (Eso también es cierto para los proxys anónimos). Cada gobierno comparte información después de un tiempo: tenemos una lista de personas, dónde están y qué están haciendo. Todo es muy simple realmente.

El método técnico 2: requiere cooperación
Colocamos como cuadro en el intercambio del servidor de su ISP y antes de cualquier cifrado, retransmisión o cualquier otro método de ofuscación, vemos todo lo que hace. Necesitamos la cooperación de su ISP; normalmente dado libremente; o la cooperación de los tribunales; siempre dado

El método social: requiere un poco de suerte.
La gente es estúpida. Usamos contraseñas simples, repetidamente usamos la misma contraseña y creemos que nuestras habilidades son desviadas e invisibles en Internet son excelentes. No somos tan listos. La Ruta de la Seda 2 se rompió tan rápidamente porque las agencias gubernamentales tenían personas en la planta baja; estaban ayudando a administrar el sitio! Entonces sabían tus detalles desde el principio.

Existen otros métodos, pero estos son los tres principales.

Las respuestas de Kim Guldberg y Daniel Miller son precisas. Una nueva forma de explotar y detectar el enrutamiento de cebolla es utilizar la tecnología de aprendizaje automático para supervisar la información de paquetes y carga útil.

Por ejemplo, Tor podría enmascarar con éxito patrones de bytes de contramedidas algorítmicas y / o heurísticas, pero aún dejará un rastro al contener código malicioso o el paquete se comportará de forma anónima.

La ventaja en este escenario es que el primer motor utiliza una tecnología de aprendizaje automático que tiene capacidades de detección autónomas. El atacante puede usar ML para aislar vulnerabilidades para un ataque de día cero (o una inserción incremental de malware) mientras que el defensor puede detectar firmas, comportamientos y / o cargas de paquetes aberrantes.

ML permite una rápida evolución tanto de la amenaza como de la detección, por lo que usar un enfoque como Tor (enrutamiento de cebolla) es en realidad un error, ya que le permite al defensor tomar medidas de contraataque sin que el atacante lo sepa.

Para una discusión más detallada con ejemplos de casos, consulte: http://www.slideshare.net/ai-one …