Abstract-Online gissning attacker mot lösenordsservrar kan vara svårt att adressera. Närmar sig att strypa eller blockera upprepade gissningar på ett konto (t.ex. tre strejker typ lockout regler) kan vara effektiva mot djup-första attacker, men är till liten hjälp mot bredd-första attacker som sprider gissningar mycket brett. Vid stora leverantörer med tiotals, eller hundratals, av miljontals konton bredd-första attacker erbjuder ett sätt att skicka miljoner eller till och med miljarder gissningar utan att någonsin utlösa djup-första försvar. Avsaknaden av etiketter och icke-stationär attacktrafik gör det svårt att tillämpa maskininlärningsteknik. Vi visar hur man korrekt uppskattar oddsen att en observation x indikerar att en begäran är skadlig. Våra huvudsakliga antaganden är att framgångsrika skadliga inloggningar är en liten del av den totala, och att fördelningen av x i den legitima trafiken är stationär, eller mycket långsamt varierande. Från dessa visar vi hur vi kan uppskatta förhållandet mellan dålig-till-god trafik bland alla typer av förfrågningar; hur vi sedan kan identifiera undergrupper av begäran data som innehåller minst (eller till och med ingen) attacktrafik; hur dessa minst attackerade undergrupper gör att vi kan uppskatta fördelningen av värden av x över legitima data, och därmed beräkna oddsförhållandet. En känslighetsanalys visar att även när vi misslyckas med att identifiera en undergrupp med lite attacktrafik är våra oddskvotsberäkningar mycket robusta.
Upptäcka gissning attacker: Herley och Schechter REF ger en algoritm genom vilken en stor volym webbplats kan uppskatta sannolikheten för att en inloggning är en del av en gissning attack, baserat på antagandet att dessa skadliga inloggningar är en liten bråkdel av totala inloggningar.
Distinguishing Attacks from Legitimate Authentication Traffic at Scale
{'venue': 'NDSS', 'journal': None, 'mag_field_of_study': ['Computer Science']}