Abstrakt. Moderna botnät är beroende av domänalgoritmer (DGAs) för att bygga motståndskraftiga infrastrukturer för styrning och styrning. Med tanke på förekomsten av denna mekanism har det senaste arbetet fokuserat på analysen av DNS-trafik för att känna igen botnät baserade på deras DGAs. Samtidigt som tidigare arbete har koncentrerats på detektion fokuserar vi på att stödja underrättelseverksamheten. Vi föreslår Phoenix, en mekanism som förutom att informera DGA- och icke-DGA-genererade domäner isär med hjälp av en kombination av sträng- och IP-baserade funktioner, kännetecknar DGA bakom dem, och, viktigast av allt, finner grupper av DGA-genererade domäner som är representativa för respektive botnät. Som ett resultat, Phoenix kan associera tidigare okända DGA-genererade domäner till dessa grupper, och producera ny kunskap om det föränderliga beteendet hos varje spårat botnet. Vi utvärderade Phoenix på 1,153,516 domäner, inklusive DGA-genererade domäner från moderna, välkända botnät: utan övervakning, det korrekt särskiljer DGA-vs. icke-DGA-genererade domäner i 94,8 procent av fallen, karakteriserade familjer av domäner som tillhörde skilda DGAs, och hjälpte forskare "på fältet" att samla information om misstänkta domäner för att identifiera rätt botnet.
På samma sätt fokuserar det arbete som presenteras i REF på klassificering och karakterisering av AGD, vilket genererar kunskap om botnätens föränderliga beteende.
Phoenix: DGA-Based Botnet Tracking and Intelligence
{'venue': 'DIMVA', 'journal': None, 'mag_field_of_study': ['Computer Science']}