La piaga biblica rappresentata dai worm, tra tutte le specie di malware quelli più perniciosi per la loro capacità di “intasare” la rete rendendo inutilizzabili interi suoi sottosettori, evolve e potenzialmente diventerà sempre più pericolosa. La principale contromisura sviluppata negli ultimi anni sono infatti stati i centri di monitoraggio e analisi del traffico di rete, in grado di risolvere in maniera remota i problemi di centinaia di server sulla base delle informazioni raccolte dai propri sensori.
Il lavoro di questi centri si basa infatti su differenti tipi di monitoriaggio, tra i quali è particolarmente efficace sinora quello che prevede l’utilizzo di sensori per rilevare le attività Internet che preludono e accompagnano la comparsa di una nuova ondata di worm attraverso il traffico di pacchetti Tcp/Ip. Una rete di questi sensori è un segreto ben custodito poiché consente di “sorprendere” durante il passaggio attraverso snodi cruciali della rete il traffico di worm. Renderne pubblici gli indirizzi IP vuol dire dare la possibilità ai malintenzionati di agire in maniera non prevedibile, annullando un vantaggio tecnologico dei cyber-poliziotti
Durante l’edizione attualmente in corso dell’Usenix Security Symposium, tuttavia, sono stati presentati vari lavori di ricerca – uno di questi scaricabile liberamente dalla rete (qui l’abstract e qui il Pdf) – che avanzano una ipotesi tutt’altro che improbabile. La prossima versione di worm saranno in grado di identificare la presenza dei sensori e di evitarli. Proprio come se fossero le telecamere di sicurezza che stanno facendo la loro comparsa nelle città anche del nostro Paese o gli autovelox sulle autostrade. Conoscendone la posizione, i malintenzionati possono evitarli rendendo vano il loro scopo di tutela e prevenzione.
