Indikatorer för Compromise (IOCs) är kriminaltekniska artefakter som används som tecken på att ett system har äventyrats av en attack eller att det har infekterats med en viss skadlig programvara. I detta dokument föreslår vi för första gången en automatiserad teknik för att extrahera och validera IOC:er för webbapplikationer, genom att analysera den information som samlas in av en höginteraktion honungskruka. Vår strategi har flera fördelar jämfört med traditionella tekniker som används för att upptäcka skadliga webbplatser. För det första, inte alla komprometterade webbsidor är skadliga eller skadliga för användaren. Vissa kan vara fördärvade för att annonsera produkter eller tjänster, och vissa kan vara en del av affiliate program för att omdirigera användare mot (mer eller mindre legitima) online shopping webbplatser. I vilket fall som helst är det viktigt att upptäcka dessa sidor för att informera sina ägare och att varna användarna om att innehållet på sidan har äventyrats och inte kan lita på. Även när det gäller mer traditionella drive-by-download sidor, gör användningen av IOCs för en snabb upptäckt och korrelation av infekterade sidor, även innan de kan blockeras av mer traditionella webbadresser svarta listor. Våra experiment visar att vårt system automatiskt kan generera webbindikatorer för kompromisser som har använts av angripare i flera månader (och ibland år) i vilt tillstånd utan att upptäckas. Hittills har dessa till synes ofarliga skript kunnat hålla sig under radarn av de befintliga detektionsmetoderna - trots att de varit värd länge på offentliga webbplatser.
Katakoglu och al. REF visade att det är möjligt att använda höginteraktion honungskrukor för att automatiskt extrahera Indikatorer för kompromisser som sedan kan användas för att identifiera komprometterade webbplatser i det vilda.
Automatic Extraction of Indicators of Compromise for Web Applications
{'venue': 'WWW', 'journal': None, 'mag_field_of_study': ['Computer Science']}