Abstract Användningen av TLS av malware innebär nya utmaningar för nätverk hot detektion eftersom traditionella mönstermatchning tekniker inte längre kan tillämpas på sina meddelanden. TLS introducerar dock också en komplex uppsättning observerbara datafunktioner som gör det möjligt att dra många slutsatser om både klienten och servern. Vi visar att dessa funktioner kan användas för att upptäcka och förstå malware kommunikation, samtidigt som integriteten för godartade användningar av kryptering bevaras. Dessa data funktioner gör det också möjligt för korrekt malware familj tilldelning av nätverkskommunikation, även när begränsas till ett enda, krypterat flöde. För att visa detta utförde vi en detaljerad studie av hur TLS används av malware och företagsprogram. Vi tillhandahåller en allmän analys på miljontals TLS krypterade flöden, och en riktad studie på 18 malware familjer som består av tusentals unika malware prover och tiotalstals skadliga TLS flöden. Viktigt, vi identifiera och rymma för den partiskhet som införs genom användningen av en malware sandlåda. Vi visar att prestandan hos en malware klassificerare korreleras med en malware familjs användning av TLS, dvs., malware familjer som aktivt utvecklar sin användning av kryptografi är svårare att klassificera. Vi drar slutsatsen att malware användning av TLS är distinkt i en företagsmiljö, och att dessa skillnader kan användas effektivt i regler och maskininlärning klassificerare.
REF diskuterar hur malware använder TLS och visar hur datafunktioner från passiv övervakning av TLS kan användas för malware identifiering och familjeattribution.
Deciphering malware’s use of TLS (without decryption)
{'venue': 'Journal of Computer Virology and Hacking Techniques', 'journal': 'Journal of Computer Virology and Hacking Techniques', 'mag_field_of_study': ['Computer Science']}