Stjäla malware, såsom botnät och spionprogram, är svåra att upptäcka eftersom deras aktiviteter är subtila och inte stör nätverket, i motsats till DoS attacker och aggressiva maskar. Stöldig malware kommunicerar dock för att exfiltrera data till angriparen, för att ta emot angriparens kommandon, eller för att utföra dessa kommandon (t.ex. skicka skräppost). Dessutom, eftersom malware sällan infiltrerar endast en enda värd i ett stort företag, dessa kommunikationer bör uppstå från flera värdar inom grov timlig närhet till varandra. I detta dokument beskriver vi ett system som kallas T-MD (uttalas "tamed") med vilket ett företag kan identifiera infekterade datorer inom sitt nätverk genom att hitta nya kommunikation "agregates" som omfattar flera interna värdar, dvs. kommunikationsflöden som har gemensamma egenskaper. Vi beskriver egenskaper för att definiera aggregat-inklusive flöden som kommunicerar med samma externa nätverk, som delar liknande nyttolast, och / eller som involverar interna värdar med liknande mjukvaruplattformar-och motivera deras användning för att hitta infekterade värdar. Vi specificerar också effektiva algoritmer som används av T-MD för att identifiera sådana aggregat, och visar en särskild konfiguration av T-MD som identifierar nya infektioner för flera bot och spionprogram exempel med mycket få falska upptäckter, inom spår av trafik registreras i utkanten av ett universitetsnätverk. Detta uppnås även när antalet infekterade värdar endast omfattar cirka 0,0065% av alla interna värdar i nätverket.
I REF föreslog Reiter och Yen ett system TAMD för att upptäcka skadlig kod (inklusive botnät) genom att samla trafik som delar samma externa destination, liknande nyttolast, och som involverar interna värdar med liknande OS-plattformar.
Traffic Aggregation for Malware Detection
{'venue': 'Lecture Notes in Computer Science', 'journal': 'Lecture Notes in Computer Science', 'mag_field_of_study': ['Computer Science']}