Abstract-Enterprise nätverk överlåter i allt högre grad ansvaret för mask upptäckt och inneslutning till bärarnätverken. De nuvarande metoderna för att upptäcka maskar i nolldagar, t.ex. de som grundar sig på innehållslika nyttolaster, är emellertid inte skalbara i förhållande till bärarhastigheterna (OC-48 och uppåt). I detta dokument introducerar vi ett nytt system, nämligen DoWitcher, som i motsats till tidigare metoder är skalbart samt kan upptäcka de mest smygande maskarna som använder sig av låga förökningshastigheter eller polymorfismer för att undvika upptäckt. DoWitcher använder en inkrementell metod för att upptäcka maskar: För det första undersöker den trafikfunktionerna i lager 4 för att urskilja förekomsten av en mask anomali; Därefter bestämmer den en flödesfiltermask som kan användas för att isolera de misstänkta maskflödena och; Slutligen möjliggör den fullpackning av endast de flöden som matchar masken, som sedan bearbetas av en längst gemensam subsekvensalgoritm för att extrahera maskens innehållssignatur. Via en proof-of-concept implementering på en kommersiellt tillgänglig nätverksanalysator bearbetning råa paket från en OC-48 länk, visar vi förmågan hos DoWitcher att upptäcka låg-hastighet maskar och extrahera signaturer för även de polymorfa maskar.
DoWitcher REF är ett skalbart system för maskdetektering och inneslutning i stamnät.
DoWitcher: Effective Worm Detection and Containment in the Internet Core
{'venue': 'IEEE INFOCOM 2007 - 26th IEEE International Conference on Computer Communications', 'journal': 'IEEE INFOCOM 2007 - 26th IEEE International Conference on Computer Communications', 'mag_field_of_study': ['Computer Science']}