Tengo muchos archivos de pcap sobre el tráfico generado por el malware, que incluyen gran cantidad de paquetes como TCP UDP y HTTP más importante. Considerando que es posible tener las ubicaciones geográficas relacionadas con las direcciones IP; La pregunta es: ¿hay una manera de averiguar si la ubicación es falsa en comparación con el tiempo de respuesta del servidor?
De una manera confiable, no hay. Las razones:
Pero:
Después de eso, basado en una extensión de punto flotante del Teorema de Bayes (tal vez extendido un poco de lógica difusa ) podrá obtener un "factor de beliavibility" de los retrasos de IP. Pero resultará en la mayoría de los casos resultados engañosos, porque la causa de los retrasos poco realistas está en la mayoría de los casos en la última milla , y solo en una parte relativamente pequeña de la falsificación obvia.
Pero, si conecta estas IP de "comportamientos sospechosos" a otros registros de seguridad, puede ser una fuente útil de "datos blandos". Por ejemplo, podría ser útil aumentar la sensibilidad de los filtros de spam o los cortafuegos alarmantes.
Requiere matemáticas en el tercer cuarto semestre de la mayoría de las universidades, y al menos un profesional & programador senior.
Las cosas a desarrollar:
Yo diría que sería entre una semana y medio año de desarrollo, según los detalles.
Si tiene suficientes máquinas, puede crear una base de datos de demora incluso entre casi todas las redes de la Tierra, que incluso podría usarse para la localización de su ubicación real. Pero sería mucho más difícil.
Lea otras preguntas en las etiquetas geolocation http malware