Botnets är stora nätverk av bots (komprometterade maskiner) som är under kontroll av ett litet antal bot masters. De utgör ett betydande hot mot Internets kommunikationer och tillämpningar. En botnet förlitar sig på kommando och kontroll (C2) kommunikation kanaliserar trafik mellan sina medlemmar för dess attack verkställande. C2 trafik inträffar innan någon attack; därför, upptäckt av botnet C2 trafik gör det möjligt att upptäcka medlemmar av botnet innan någon verklig skada händer. Vi analyserar C2-trafiken och finner att den uppvisar ett periodiskt beteende. Detta beror på det förprogrammerade beteendet hos bots som kontrollerar efter uppdateringar för att ladda ner dem varje T sekunder. Vi utnyttjar detta periodiska beteende för att upptäcka C2-trafik. Detektionen innebär att man utvärderar periodogrammet för den trafik som övervakas. Därefter applicerar Walkers stora prov på periodogrammets maximala koordinat för att avgöra om det beror på en periodisk komponent eller inte. Om periodogrammet för den övervakade trafiken innehåller en periodisk komponent, då är det mycket troligt att det beror på en bots C2-trafik. Testet tittar endast på aggregat kontroll plan trafik beteende, vilket gör det mer skalbart än tekniker som innebär djup paket inspektion (DPI) eller spårning av kommunikationsflöden av olika värdar. Vi tillämpar testet på två typer av botnet, pytteliten P2P och IRC som genereras av SLINGbot. Vi verifierar det periodiska beteendet hos deras C2-trafik och jämför det med de resultat vi får på verklig trafik som erhålls från ett säkert företagsnätverk. Vi studerar ytterligare egenskaperna hos testet i närvaro av injicerad HTTP-bakgrundstrafik och effekten av arbetscykeln på det periodiska beteendet. a 2013 Produktion och värdskap av Elsevier B.V. på uppdrag av Kairo University. Botnets är stora nätverk av bots (komprometterade maskiner) som är under kontroll av ett litet antal bot masters. Under de senaste åren har det hot som botnäten utgör mot Internettillämpningar och kommunikationer ökat. Detta beror på det faktum att en bot mästare styr ett stort antal bots som sträcker sig från hundratusentals till miljontals. Detta förstorar effekten av välkända nätverk skadliga aktiviteter som skanning, e-post spam och distribuerad överbelastning (DDoS) attacker. Dessutom botnät öka effektiviteten av phishing, klicka bedrägeri, identitet stöld och spionage. På grund av botnätens destruktiva kapacitet har de blivit ett stort hot mot ekonomin, informations- och kommunikationsinfrastrukturen. Federal Bureau of Investigation (FBI) i USA, i ett initiativ för att upptäcka bot mästare * Korresponderande författare. Tfn: +966 1146755; fax: +966 114676757. E-postadress: bsadhan@ksu.edu.sa (B. AsSadhan). Peer översyn under ansvar av Kairo University. och ta isär dem har identifierat över 1 miljon offerdatorer [1, 2]. Många människor har åtalats, erkänt sig skyldiga eller dömts för brott med anknytning till botnetanvändning [1, 2]. Vad som ökar effekten av problemet är att majoriteten av ägarna till de komprometterade maskinerna inte är medvetna om att deras maskiner är medlemmar i ett botnät [1]. Enligt april 2013 Symantec Internet Security Threat Report, Volym 18, 3,4 miljoner distinkta bot-infekterade datorer observerades 2012 [3]. Enligt samma rapport var botnäten ansvariga för cirka 69 % av skräpposten under 2012 [3]. De goda nyheterna; det finns en minskning av dessa siffror under de senaste åren. Till exempel fanns det under 2009 6,08 miljoner olika botinfekterade datorer och botnät stod för cirka 85 % av skräpposten [4]. Siffrorna är dock fortfarande höga; dessutom har bot mästare börjat länka mobiltelefoner för att bilda botnät av mobila enheter för att göra monetära vinster [3]. Botnets trafik skiljer sig från trafiken av andra typer av malware i att det inkluderar kommando och kontroll (C2) kommunikationskanaler trafik. En bot mästare förlitar sig på dessa kanaler för att skicka kommandon till medlemmarna i dess botnet för att utföra attackaktiviteter. Dessutom förlitar sig en bot master på dessa kanaler för att kontrollera botnet medlemmar för att få den information och kod som behövs för att köra sina attacker. C2 kommunikationskanaler trafik inträffar innan utförandet av attackaktiviteter och kan betraktas som underrättelsekommunikation mellan de olika medlemmarna i ett botnät. Detta gör det möjligt att upptäcka C2 kommunikationskanaler trafik av intresse eftersom det innebär att upptäcka bots innan någon riktad offer attackeras. Det är svårt att upptäcka C2-trafik på grund av flera skäl som påpekades av AsSadhan et. Detta beslut träder i kraft den tjugonde dagen efter det att det har offentliggjorts i Europeiska unionens officiella tidning. De omfattar följande: (1) den låga volymen av C2-trafik; (2) C2:s trafik är väluppfostrade och inte bryter mot några regler för nätverksprotokoll; (3) det kan bara finnas ett fåtal botnetmedlemmar i det övervakade nätverket; och (4) C2-trafiken kan krypteras [5]. För att ta itu med dessa svårigheter tittar vi på ett beteende som vi tillsammans med andra forskare observerat i C2-trafiken [5] [6] [7]. Det beteende vi observerar är rumslig-temporal korrelation och likheter i C2 kommunikationstrafiken av bots som tillhör samma botnet. I vårt arbete fokuserar vi på temporal korrelation i en enda bots trafik. Vi finner att en bots C2-trafik uppvisar periodiskt beteende. Detta beror på karaktären av den förprogrammerade beteendet hos en bot, där i många varianter av botnät varje bot ofta kontaktar andra bots varje T sekunder. Detta förprogrammerade beteende är närvarande i botnät med olika strukturer och kommunikationsprotokoll och görs för att bots att uppdatera sina data, ta emot kommandon, och skicka keep-alive meddelanden. Vi noterar att det periodiska beteendet observeras när man tittar på trafiken i transporthamnsnumret som används av boten för dess C2-kommunikation. Som ett resultat, upptäckt av periodiskt beteende i en maskins trafik kan vara en indikation på att maskinen är en medlem av ett botnät. Vi utnyttjar denna observation för att upptäcka robotar genom att upptäcka periodiskt beteende i trafiken i det nätverk vi övervakar. För att uppnå detta presenterar vi i detta dokument en effektiv metod för att upptäcka periodiskt beteende i botnet kommando och kontrollera trafiken. Metoden baseras på utvärderingen av trafiksekvensens periodogram. En periodogram används för att se en periodisk signal i frekvensdomänen för att observera toppvärdet vid signalens grundläggande frekvens. När toppen är placerad, använder vi Walkers stora provtest för att avgöra om toppen är tillräckligt betydande jämfört med resten av periodogrammets koordinater. Om toppen är betydande, förklarar vi att det beror på en periodisk komponent med frekvensen där toppen är placerad. För att öka effektiviteten av metoden ytterligare, vi bryta företag LAN TCP trafik i kontroll-och dataplan [8], och använda styrplanet trafiken som en surrogat för hela trafiken (kontroll-och dataplan kombineras). Detta beror på att datatrafikgenerering bygger på kontroll trafikgenerering, vilket gör beteendet hos de två trafikgrupper liknande [8]. Resten av tidningen är organiserad enligt följande, Avsnitt "'Bakgrund och motivation: Detektion av periodiskt beteende i botnet C2 kommunikationskanaler trafik'' granskar kommando och kontroll (C2) trafik av botnät och föreslår hur man upptäcker botnät. Avsnittet ''Approach: Diskret tidsserieanalys av aggregerad trafik' förklarar hur vi aggregerar nätverkstrafik och delar upp den i kontroll- och dataplanstrafik. Avsnittet ''Metodologi: Testa nätverkstrafik för periodiskt beteende med hjälp av periodogram' granskar periodogram och presenterar Walkers stora prov. Avsnittet ''Experimentell installation: Utvärdering och analys' förklarar det experimentella upplägget och presenterar våra utvärderings- och analysresultat av att tillämpa testet på flera paketspår, och i avsnittet ''Slutsatser'' ger vi våra slutsatser. Bakgrund och motivation: Detektion av periodiskt beteende i botnet C2 kommunikationskanaler trafik
Basil AsSadhan och Moura Ref föreslog en detektionsmetod där man koncentrerar sig på C&C-kommunikationsanalys och finner att den uppvisar ett periodiskt beteende.
An efficient method to detect periodic behavior in botnet traffic by analyzing control plane traffic
{'venue': 'Journal of Advanced Research', 'journal': 'Journal of Advanced Research', 'mag_field_of_study': ['Medicine']}