Análise do uso de entropia para detecção de tráfego criptografado no payload da camada de transporte

Abstract

Tendo em vista o contexto em que vivemos hoje, onde vazamentos de dados, ataques de ransomware e infecção por malwares são cada vez mais frequentes, aplicações estão sendo reestruturadas levando a segurança em consideração. Muitas delas estão sendo padronizadas com a criptografia ponta-a-ponta, sendo realizada na própria aplicação, como o HTTPS. Ao mesmo tempo, tornasse mais comum appliances empresariais serem capazes de inspecionar o tráfego criptografado por interceptação, realizando verificações dentro do conteúdo da aplicação. Já as aplicações que não deveriam ser criptografadas por natureza, podem passar despercebidas ao serem criptografadas por implementações clandestinas de atacantes. Esses casos almejam criar fluxos encapsulados, a fim de extrair dados, criar estruturas de comando e controle ou injetar códigos e scripts infectados. Ferramentas de detecção de intrusão por assinatura falham ao tentar analisar fluxos que são disfarçados por uma aplicação legítima, como o DNS, por exemplo. Ao passo que, sistemas de detecção por anomalia também podem ser dribladas por estes mesmos tipos de mimetismo. Portanto, vê-se a necessidade de desenvolver um sistema capaz de verificar se há criptografia a nível de aplicação sem interceptá-lo. O método proposto por este trabalho utiliza a entropia para analisar a possibilidade de classificar as aplicações a partir do payload da camada de transporte. Atingindo assim, uma abstração das camadas acima e sendo capaz de obter resultados significativos sobre aplicações genéricas, independentemente do protocolo de aplicação utilizado.