Bots samordnas av en lednings- och kontrollinfrastruktur (C&C) för att starta attacker som allvarligt hotar Internettjänsterna och användarna. De flesta botnet-detektion ap proaches fungerar på nätverksnivå och kräver anal ysis av paketens nyttolaster, vilket ökar integriteten och i kurrering stora beräknings omkostnader. Dessutom kan nättrafikanalys i sig sällan ge en fullständig bild av botnätens beteende. Däremot, in-host detektion metoder är användbara för att identifiera varje bot värd-wide vara havior, men är mottagliga för värd-inhemska malware om används ensam. För att ta itu med dessa begränsningar anser vi att både samordningen inom ett botnät och den skadliga behav ior varje bot ställer ut på värdnivå, och föreslår en C&C-protokoll-oberoende detektion ram som kombinerar värd- och nätverksnivå information för att fatta beslut om detektion. Ramen har visat sig vara effektiv när det gäller att upptäcka olika typer av botnät med låga nivåer av falska vapen. Botnets har nu blivit ett av de allvarligaste säkerhetshoten mot Internettjänster och -tillämpningar. En bot är en dator som äventyras av maskar, trojanska hästar eller bakdörrar, under fjärrstyrning (C&C) infrastruktur. En grupp samordnade bots kallas en botnet, och kan tillsammans montera Distributed-Denial-of-Service (DDoS) attacker, spamming, phishing, identitet stöld, och andra it-brott. För att styra ett botnät måste en botmaster använda en C&C-kanal för att utfärda kommandon och samordna bots åtgärder. Traditionella botnät använder IRC-protokollet som sin C & C-infrastruktur. Angripare sätter upp en IRC-server och anger en kanal via vilken bots ansluter till, och lyssnar på, för att ta emot kommandon från botmasters. HTTP-baserade botnät liknar de IRC-baserade, men efter i fection, bots kontakta en webbaserad C&C-server och meddela servern med deras system-identifierande information via HTTP. Den här servern skickar tillbaka kommandon via HTTP-svar. Även om IRC- och HTTP-baserade C&C har antagits av många tidigare och nuvarande botnät är båda utsatta för en central bristpunkt. Det vill säga, när den centrala IRC eller HTTP-servern identifieras och tas bort, hela botnet 978-1-4244-7501-8/10/$26.00 ©201O IEEE kommer att inaktiveras. För att motverka denna svaghet har angripare nyligen flyttat mot en ny generation av botnät med hjälp av decentraliserade C&C-protokoll som P2P. Denna infrastruktur för C & C gör det mycket svårare att upptäcka och begränsa. En välkänd undersökning är Storm mask [4] som sprider sig via e-post spam och är känd för att vara den första malware för att så ett botnät i en hybrid P2P mode. Storm använder peers som HTTP-proxies för att vidarebefordra C & C-trafik och döljer botmasters väl bakom P2P-nätverket. En ny spambot Waledac, som kom till det vilda i slutet av 2008, sprider sig också via skräppost och bildar sitt botnät med hjälp av en C&C-struktur som liknar Storm botnet. Några forskare påpekade att Waledac är den nya och förbättrade versionen av Storm botnet [18]. Hittills, de flesta botnet-detektion metoder fungerar på nätverksnivå; en majoritet av dem riktar traditionella IRC-eller HTTP-baserade botnät [12, 5, 10, 14, 17, 22] genom att leta efter trafiksignaturer eller flödesmönster. Vi är medvetna om endast en metod [11] avsedd för protokoll- och strukturoberoende botnätsdetektering. Detta tillvägagångssätt kräver inspektion på paketnivå och beror enbart på nettoarbetstrafikanalys, sannolikt inte har en fullständig bild av botnätens beteende. Vi behöver alltså den finer-grained värd-by värd beteende inspektionen för att komplettera nätverket anal ysis. Å andra sidan, eftersom bots beter sig illvilligt system-wide, kan allmän värd-baserad upptäckt vara användbart. Ett sådant sätt är att matcha mal ware signatures, men det är effektivt att upptäcka kända bots bara. För att hantera okänd bot infiltration, in-host beteendeanalys [6, 15, 8, 21, 20 ] behövs. Men eftersom vissa in-host skadliga beteende är inte uteslutande för bots och in-host mekanismer är sårbara för värd-bofast malware, värdbaserade metoder ensam kan knappast ge tillförlitliga detektionsresultat och därför behöver vi extern, svår att kompromissa (dvs., nätverk-nivå) information för mer exakt upptäckt av bots skadliga beteende. Med tanke på den nödvändiga samordningen inom varje bot nät på nätverksnivå och det skadliga beteende varje bot uppvisar på värdnivå, föreslår vi en C&C-protokoll oberoende detektion ram som innehåller information samlas in på både värd- och nätverksnivåer. De två informationskällorna kompletterar varandra när det gäller att fatta beslut om upptäckt. Vårt ramverk identifierar först misstänkta värdar genom att upptäcka liknande beteenden bland 291 DSN 2010: Zeng et al.
Zeng m.fl. REF föreslog också att man skulle upptäcka robotar som kombinerar information från både värd- och nätverksnivåer.
Detection of botnets using combined host- and network-level information
{'venue': '2010 IEEE/IFIP International Conference on Dependable Systems & Networks (DSN)', 'journal': '2010 IEEE/IFIP International Conference on Dependable Systems & Networks (DSN)', 'mag_field_of_study': ['Computer Science']}