Para bloquear esta técnicas no es suficiente con confiar exclusivamente en anomalías de protocolo o violaciones. Aunque algunas anomalías de protocolo y violaciones ocurren únicamente cuando se utilizan técnicas de evasión, la mayoría de las irregularidades del protocolo surgen debido a una implementación levemente defectuosa en las aplicaciones de Internet de uso común. Para una detección más precisa, es necesario analizar y decodificar los datos capa por capa. Como el ataque puede ser ofuscado por evasiones en muchas capas diferentes, la normalización y el análisis cuidadoso deben llevarse a cabo en la capa adecuada.[2]
Las características más utilizadas para la detección de AET's son:[5]
- Actualización de seguridad dinámica. Es necesario poder actualizar automáticamente y de forma continua con nuevas respuestas a las amenazas que se envían a todas las ubicaciones (incluidas las ubicaciones remotas), sin la necesidad de acceso físico.
- Inspección HTTPS/TLS. El cifrado permite esconder acciones maliciosas. La inspección de HTTPS/TLS permite inspeccionar conexiones TLS de la misma forma que el tráfico no cifrado.
- Normalización de datos. Una vez que todos los datos estén normalizados y entonces activar técnicas de detección de técnicas de evasión es crítico para proteger nuestros sistemas.
- Inspección completa de la pila de protocolos. Para identificar las amenazas es necesario que todo el tráfico sea normalizado y se analicen todos los protocolos de las distintas capas de la pila.
- Detección y generación de informes de evasiones y anomalías. Es importante tener informes que registren todo lo que es detectado, logeado y actuar en consecuencia.
- Unificación del corazón del software. Tener una solución de seguridad con un núcleo de software unificado proporciona la flexibilidad para escalar rápida y fácilmente a sus necesidades. Confiar en una solución de software le permite responder a nuevos requisitos e implementar nuevas características en un plazo de implementación más corto. Una ventaja adicional es la capacidad de las funciones de comunicarse entre sí para optimizar el rendimiento general.
- Protección de puntos finales. Hay que mantener sus puntos finales protegidos contra amenazas avanzadas. Uno de los aspectos más críticos de la protección de punto final es la capacidad de ir más allá del rango típico de amenazas y defenderse de las amenazas emergentes. Hay que trabajar en todos los puntos finales, incluidos los dispositivos móviles en constante evolución y el entorno virtualizado
Hay disponibles varias utilidades especializadas que permiten comprobar la respuesta de nuestros sistemas frente a técnicas de evasión avanzada. Es decir, permiten comprobar la efectividad o inefectividad de los sistemas de detección implantados. Ejemplos de estas herramientas son:[1]
- Evader
- Fragroute
- whisker
- ADMmutate Evasion Tool
