Detta dokument presenterar en ny metod för automatisk upptäckt av maskar med hjälp av beteendesignaturer. En beteendemässig signatur beskriver aspekter av någon viss mask beteende som är vanliga över manifestationer av en given mask och som spänner dess noder i temporal ordning. Karakteristiska mönster av maskbeteenden i nätverkstrafik inkluderar 1) att skicka liknande data från en maskin till nästa, 2) trädliknande spridning och spaning, och 3) att ändra en server till en klient. Dessa beteendesignaturer presenteras inom ramen för en allmän maskförökningsmodell. Tillsammans har de potential att upptäcka hela klasser av maskar, inklusive de som ännu inte har observerats. I detta dokument introduceras begreppet nätverksapplikationsarkitektur (NAA) som ett sätt att distribuera nätverkstillämpningar. En analys visar att valet av NAA påverkar känsligheten hos beteendesignaturer. En NAA som uppfyller vissa krav avsevärt förbättrar maskdetektionskänsligheten. Matematiska modeller av trafikflöde, NAA, maskförökning och maskdetektering ger ett sammanhang för hela diskussionen.
Sådana beteenden kan representeras av en generisk maskförökningsmodell REF.
A behavioral approach to worm detection
{'venue': "WORM '04", 'journal': None, 'mag_field_of_study': ['Computer Science']}