Abstract-Vi anser problemet med att identifiera obskyra chat-liknande botnet kommando och kontroll (C&C) kommunikation, som är oskiljaktiga från mänsklig-mänsklig kommunikation med traditionella signatur-baserade tekniker. Befintliga passivt beteende-baserade anomali detektion tekniker är begränsade eftersom de antingen kräver övervakning flera bot infekterade maskiner som tillhör samma botnet eller kräver förlängd övervakningstider. I detta dokument undersöker vi den potentiella användningen av aktiva botnetprobingtekniker i en nätverksmellanbox som ett sätt att öka och komplettera befintliga passiva botnet C & C-detektionsstrategier, särskilt för små botnät med obfuskerat C & C-innehåll och sällan förekommande C & C-interaktioner. Vi presenterar en algoritmisk ram som använder hypotestestning för att skilja botnet C&C dialoger från mänskliga samtal med önskad noggrannhet och implementera ett prototypsystem som heter BotProbe. Experimentella resultat på flera verkliga IRC bots visar att våra föreslagna aktiva metoder kan framgångsrikt identifiera obskyra och obfuscated botnet kommunikation. En verklig användarstudie på ett hundratal deltagare visar också att tekniken har en låg falsk positiv frekvens på mänskliga samtal. Vi diskuterar begränsningarna i BotProbe och hoppas att denna preliminära genomförbarhetsstudie om användningen av aktiva tekniker i botnet forskning kan inspirera nya tankar och riktningar inom malware forskarsamhället.
BotProbe REF föreslår en aktiv botnet undersökningsteknik som detekterar bots genom att skilja botnet C&C-dialogrutor från mänskliga samtal.
Active Botnet Probing to Identify Obscure Command and Control Channels
{'venue': '2009 Annual Computer Security Applications Conference', 'journal': '2009 Annual Computer Security Applications Conference', 'mag_field_of_study': ['Computer Science']}