Cloud Firewall defiende contra los gusanos mineros mediante la detección y el bloqueo de tráfico malicioso en tiempo real. Este documento explica cómo utilizar Cloud Firewall y Security Center para proteger su entorno en la nube a través de la prevención, la detección y la respuesta ante incidentes.
Limitaciones
-
Edición de Cloud Firewall
La detección y defensa contra gusanos mineros solo está disponible en las ediciones Premium, Enterprise o Ultimate de Cloud Firewall. Para obtener más información, consulte Purchase Cloud Firewall.
-
Edición de Security Center
Las funciones disponibles en Security Center varían según la edición. Para obtener más información, consulte Features.
Cómo se propagan los gusanos mineros
El Informe de Análisis de Criptominería en la Nube 2018 del equipo de seguridad de Alibaba Cloud reveló que las grandes oleadas de vulnerabilidades de día cero suelen ir seguidas de brotes rápidos de gusanos mineros. Estos gusanos interrumpen las operaciones al consumir recursos del sistema. Algunos, como XBash, incluso se distribuyen junto con ransomware, lo que provoca pérdidas financieras y de datos.
El equipo de seguridad de Alibaba Cloud determinó que los gusanos mineros en la nube se propagan principalmente aprovechando las siguientes vulnerabilidades:
-
Explotación de vulnerabilidades comunes
Los gusanos mineros aprovechan vulnerabilidades comunes en aplicaciones, como configuraciones incorrectas y contraseñas débiles. También emplean ataques de fuerza bruta contra servicios como SSH, RDP y Telnet para escanear e infectar nuevos hosts.
-
Explotación de vulnerabilidades de día cero y de día N
Los gusanos mineros también aprovechan el intervalo entre el descubrimiento y la aplicación de parches para vulnerabilidades de día cero y de día N, lo que permite infecciones rápidas y a gran escala.
Estrategia de defensa
|
Fase |
Solución |
Acciones |
|
Prevención |
Cree directivas de control de acceso en Cloud Firewall para permitir únicamente tráfico de confianza. |
Cree una directiva de control de acceso saliente para permitir el tráfico hacia direcciones IP públicas de confianza y denegar todo el demás tráfico. Para obtener más información, consulte Access control policies. |
|
Habilite el Threat Engine en Cloud Firewall para bloquear actividades de minería. |
||
|
Utilice la función Intrusion Prevention de Cloud Firewall para detectar y bloquear tráfico de ataque. |
||
|
Utilice la función antivirus de Security Center para bloquear automáticamente virus, conexiones maliciosas y webshells, y así prevenir incidentes de minería en sus instancias ECS. |
||
|
Gestione las alertas de seguridad en Security Center para detectar programas de minería y comunicación con pools de minería en sus instancias ECS. |
||
|
Detección y respuesta |
Utilice la función Breach Awareness de Cloud Firewall para detectar rápidamente gusanos mineros. |
En la página Breach Detection, puede identificar eventos específicos y las direcciones externas a las que se conectan. Para obtener más información, consulte Use Cloud Firewall to detect mining worms. |
|
Utilice la función Intrusion Prevention de Cloud Firewall para contener amenazas rápidamente. |
Habilite Basic Protection en Cloud Firewall para bloquear descargas de archivos maliciosos. Para obtener más información, consulte How to use Cloud Firewall for rapid threat containment after an intrusion. |
|
|
Utilice las directivas de control de acceso de Cloud Firewall para bloquear conexiones de criptominería. |
Cree una directiva de control de acceso saliente para permitir el tráfico hacia direcciones IP públicas de confianza y establezca la acción para el tráfico hacia direcciones de pools de minería como Deny. |
|
|
Siga las mejores prácticas de Cloud Firewall basadas en el framework ATT&CK. |
Cloud Firewall ofrece funciones como reglas básicas, parches virtuales e inteligencia sobre amenazas que cubren diversos riesgos del framework ATT&CK. Se recomienda seguir Cloud Firewall best practices based on the ATT&CK framework para mejorar la seguridad de su red. |
|
|
Post-intrusión |
Utilice Security Center para rastrear el origen del ataque del virus minero. |
View attack source analysis results Si no se detectan comunicaciones relacionadas ni se generan alertas durante siete días, significa que el virus minero o troyano ha sido eliminado. Para obtener más información sobre cómo consultar los resultados de la búsqueda, consulte Breach Awareness. |
Defensa contra gusanos mineros con Cloud Firewall
Defensa contra vulnerabilidades comunes
Para defenderse contra ataques de fuerza bruta, como los dirigidos a SSH y RDP, la función Basic Protection de Cloud Firewall incluye detección convencional de este tipo de ataques. Calcula umbrales para intentos de inicio de sesión y fallos; si una dirección IP supera el umbral, se bloquea. Esta función utiliza modelos de comportamiento basados en sus hábitos de acceso para bloquear inicios de sesión anómalos sin interrumpir el acceso legítimo.
Para exploits comunes, como el uso de Redis para escribir tareas cron o el uso de UDF de bases de datos para ejecutar comandos, la función Basic Protection utiliza la extensa biblioteca de muestras de ataque de Alibaba Cloud para crear reglas de defensa precisas.
Para habilitar Basic Protection y defenderse contra vulnerabilidades comunes, siga estos pasos:
Inicie sesión en la consola de Cloud Firewall.
En el panel de navegación izquierdo, elija .
En la pestaña Internet Border, configure Threat Engine Mode en Blocking Mode - Loose.
En la pestaña , active el interruptor de Basic Protection.
En el panel de navegación izquierdo, elija . En la página IPS, consulte los registros detallados de bloqueo en la lista.
Defensa contra vulnerabilidades de día cero y de día N
Si las vulnerabilidades populares de día cero y de día N no se parchean a tiempo, el riesgo de infección por gusanos mineros aumenta significativamente. Cloud Firewall utiliza una red de honeypots desplegados para analizar tráfico de ataque sospechoso y recopila inteligencia sobre vulnerabilidades desde la Plataforma de Crowdsourcing de Seguridad de Alibaba Cloud. Este proceso permite descubrir exploits oportunamente, obtener PoC y crear parches virtuales, lo que le otorga una ventaja crítica frente a los atacantes.
Puede habilitar los parches virtuales para defenderse contra vulnerabilidades de día cero y de día N. Para ello, realice los siguientes pasos:
Inicie sesión en la consola de Cloud Firewall.
En el panel de navegación izquierdo, elija .
-
En la pestaña Virtual Patching, active el interruptor de Virtual Patching. Luego podrá ver y gestionar las reglas de parches virtuales en la lista.
Después de habilitar esta función, la parte superior de la página muestra estadísticas de reglas, como el número total de reglas, la cantidad de reglas habilitadas o deshabilitadas, el número de vulnerabilidades de alto riesgo y la cantidad de ataques bloqueados actualmente, además de la versión de la biblioteca de reglas. Puede filtrar las reglas por criterios como Risk Level, Attack Type, Attack Target, Status, Supported Engine Mode y Current Action. La lista de reglas incluye información como Rule ID, Rule Name, CVE ID, Risk Level, Current Action y Status.
Detección de gusanos mineros con Cloud Firewall
Incluso con medidas sólidas de prevención de intrusiones en el perímetro de la red pública, los sistemas pueden infectarse con gusanos mineros. Por ejemplo, un gusano minero puede propagarse desde una computadora de desarrollo hacia la red de producción a través de una VPN, o puede producirse una infección a gran escala si las imágenes del sistema o de Docker utilizadas para las operaciones ya están infectadas con un virus minero.
Cloud Firewall proporciona la función Breach Detection
Quick Blocking en la página Breach Detection para detectar gusanos mineros y bloquear la comunicación entre troyanos mineros y pools de minería a nivel de red. Para habilitar el bloqueo automático, realice los siguientes pasos:
Inicie sesión en la consola de Cloud Firewall.
En el panel de navegación izquierdo, elija .
-
En la página Breach Detection, localice un evento específico en la lista y haga clic en Details en la columna Actions.
En el panel Event Details, puede ver la dirección externa a la que se conecta el programa minero.
Inicie sesión en el servidor afectado, localice el proceso de minería y elimínelo.
Contención rápida de amenazas
Si un servidor ya está infectado con un gusano minero, Cloud Firewall puede ayudar a contener la amenaza y minimizar las pérdidas operativas y de datos mediante el bloqueo de descargas de archivos maliciosos, la interceptación de comunicación C&C y el fortalecimiento del control de acceso para zonas críticas del negocio.
-
Bloqueo de descargas de archivos maliciosos
Después de que un host se infecta con un gusano minero, a menudo intenta descargar archivos maliciosos adicionales. La función Basic Protection de Cloud Firewall incluye detección de archivos maliciosos. Utiliza actualizaciones en tiempo real de firmas únicas y hashes difusos para gusanos mineros comunes. Si un host infectado intenta descargar nuevas cargas útiles de ataque, Cloud Firewall realiza comprobaciones de seguridad, incluida la reconstrucción de archivos y la coincidencia de firmas en el tráfico. Si detecta una descarga de archivo malicioso, genera una alerta y bloquea la descarga.
Puede activar el interruptor de Basic Protection en la pestaña de la página IPS Configuration para bloquear descargas de archivos maliciosos.
-
Interceptación de comunicación C&C
Después de infectar un host, el gusano minero puede intentar comunicarse con un servidor de Comando y Control (C&C) para recibir más comandos maliciosos o exfiltrar datos confidenciales. La función Basic Protection de Cloud Firewall intercepta esta comunicación C&C en tiempo real mediante los siguientes métodos:
Analiza y monitorea datos de gusanos en toda la red y tráfico de servidores C&C para crear firmas de tráfico anómalo. Monitorea continuamente los cambios en la comunicación C&C y extrae patrones de ataque para garantizar una detección oportuna.
Aprende automáticamente de datos históricos de tráfico para construir un modelo de detección de tráfico anómalo, lo que ayuda a descubrir posibles gusanos mineros desconocidos.
Utiliza visualización de big data para perfilar el comportamiento de acceso IP en toda la red. Emplea aprendizaje automático para identificar direcciones IP y dominios de acceso anómalos, correlaciona estos datos con información de ataques en toda la red y mantiene una biblioteca de inteligencia sobre amenazas C&C. Esto permite realizar coincidencias en tiempo real con el tráfico del servidor para bloquear conexiones C&C maliciosas.
Puede habilitar la función Basic Protection en la página para interceptar la comunicación C&C.
-
Habilitación de control de acceso estricto para zonas críticas del negocio
Los servicios críticos a menudo necesitan estar expuestos a Internet, pero los escaneos y ataques provenientes de la red suponen una amenaza para sus activos, lo que dificulta el control de acceso externo detallado. Sin embargo, para las conexiones salientes iniciadas desde una instancia ECS, una dirección IP elástica o una red interna, la cantidad de dominios o direcciones IP de destino suele ser controlable y limitarse a servicios legítimos. Implementar un control de acceso saliente basado en dominios o IP puede evitar que un host ECS comprometido instale troyanos mineros o se comunique con servidores C&C.
Cloud Firewall le permite establecer reglas de control de acceso basadas en nombres de dominio de destino (incluidos dominios comodín) y direcciones IP. Para proteger servicios comerciales críticos, puede configurar una directiva de control de acceso Outbound estricta. Esta directiva permite que sus servicios críticos se conecten únicamente a dominios o direcciones IP de destino específicos, mientras deniega todas las demás conexiones salientes. Este enfoque previene eficazmente la descarga y propagación de gusanos mineros, y detiene la persistencia y las actividades de monetización posteriores a la intrusión.
Por ejemplo, si su red interna realiza conexiones salientes a un total de seis direcciones IP, donde los servicios NTP se identifican como productos de Alibaba Cloud y el servidor DNS es una dirección conocida como 8.8.8.8, puede crear una directiva siguiendo las recomendaciones de seguridad de Cloud Firewall. Esta directiva permitiría el tráfico hacia esas seis direcciones IP y denegaría todas las demás conexiones salientes. Dicha configuración evita actividades maliciosas como descargas de malware y comunicación C&C sin afectar las operaciones normales del negocio.
En la pestaña Outbound de la página en la consola de Cloud Firewall, puede crear una directiva de control de acceso saliente para permitir el tráfico hacia direcciones IP públicas de confianza y denegar todo el demás tráfico saliente.
La propagación masiva de gusanos mineros se debe a la persistencia de vulnerabilidades en aplicaciones, la frecuente aparición de vulnerabilidades de día cero y la alta eficiencia de la monetización mediante criptominería. Puede integrar Cloud Firewall sin problemas para proteger sus aplicaciones contra una amplia gama de ataques basados en Internet. Gracias a su extensa capacidad de cómputo e inteligencia sobre amenazas en toda la red, detecta rápidamente nuevas amenazas para protegerlo contra gusanos mineros. Además, Cloud Firewall escala elásticamente con su negocio, lo que le permite centrarse en el crecimiento sin preocuparse por la seguridad.