Abstract-Bots är äventyras datorer som kommunicerar med en botnet kommando och kontroll (C&C) server. Bots använder vanligtvis dynamiska DNS (DDNS) för att lokalisera respektive C & C-server. Genom att injicera kommandon i sådana servrar, botmasters kan återanvända bots för en mängd olika attacker. Vi utvärderar två metoder för att identifiera botnet C & C-servrar baserade på avvikande DDNS-trafik. Den första metoden består i att leta efter domännamn vars frågefrekvenser är onormalt höga eller tidsmässigt koncentrerade. Höga DDNS frågehastigheter kan förväntas eftersom botmasters ofta flyttar C&C-servrar, och botnät med så många som 1,5 miljoner bots har upptäckts. Den andra metoden består i att leta efter onormalt återkommande DDNS svar som visar att frågan är för ett obefintligt namn (NXDOMAIN). Sådana frågor kan motsvara robotar som försöker hitta C&C-servrar som har tagits ner. I våra experiment identifierade den andra metoden automatiskt flera domännamn som rapporterades av andra som misstänkta, medan den första metoden inte var lika effektiv.
Villamarn-Salomn och Brustoloni REF fokuserade sin upptäckt på onormalt höga eller tidsmässigt koncentrerade frågehastigheter av dynamiska DNS-frågor.
Identifying Botnets Using Anomaly Detection Techniques Applied to DNS Traffic
{'venue': '2008 5th IEEE Consumer Communications and Networking Conference', 'journal': '2008 5th IEEE Consumer Communications and Networking Conference', 'mag_field_of_study': ['Computer Science']}