I detta arbete föreslår vi en allmän strategi för att upptäcka distribuerad skadlig aktivitet där enskilda attackkällor fungerar på ett smygande, låg profil sätt. Vi baserar vår strategi på att observera statistiskt signifikanta förändringar i en parameter som sammanfattar aggregerad aktivitet, avgränsar en distribuerad attack i tid, och sedan bestämma vilka källor som finns under det intervallet verkar ha samordnat sin aktivitet. Vi tillämpar detta synsätt på problemet med att upptäcka smygande distribuerad SSH bruteforcing aktivitet, visar att vi kan modellera processen av legitima användare underlåter att autentisera med hjälp av en beta-binomial distribution, vilket gör att vi kan ställa in en detektor som avhandlar en förväntad nivå av falska positiva kontra tid till upptäckt. Med hjälp av detektorn studerar vi prevalensen av distribuerad bruteforcing och hittar dussintals fall i ett omfattande 8-årigt dataset som samlats in från en plats med flera tusen SSH-användare. Många av attackerna - varav några de senaste månaderna - skulle vara ganska svåra att upptäcka individuellt. Medan ett antal av attackerna återspeglar odiskriminant global undersökning, hittar vi också attacker som endast riktade sig till den lokala webbplatsen, samt enstaka attacker som lyckades.
Legitima inloggningsfel på SSH-servern beskriver en Beta-Binomial Distribution REF.
Detecting stealthy, distributed SSH brute-forcing
{'venue': "CCS '13", 'journal': None, 'mag_field_of_study': ['Computer Science']}