Abstract-Modern botnät förlitar sig på domän-generering algoritmer (DGAs) för att bygga motståndskraftiga kommando-och-kontrollinfrastrukturer. Nya verk fokuserar på att känna igen automatiskt genererade domäner (AGD) från DNS-trafik, som potentiellt gör det möjligt att identifiera tidigare okända AGDs för att hindra eller störa botnets kommunikationskapacitet. De state-of-the-art metoder kräver att distribuera låg nivå DNS-sensorer för att få tillgång till data vars insamling innebär praktiska och integritetsfrågor, vilket gör deras antagande problematiskt. Vi föreslår en mekanism som övervinner ovanstående begränsningar genom att analysera DNS trafikdata genom en kombination av språkliga och IP-baserade funktioner av misstänkta domäner. På så sätt kan vi identifiera AGD-namn, karakterisera deras DGAs och isolera logiska grupper av domäner som representerar respektive botnät. Dessutom berikar vårt system dessa grupper med nya, tidigare okända AGD-namn, och producerar ny kunskap om det föränderliga beteendet hos varje spårat botnet. Vi använde vårt system i verkliga inställningar, för att hjälpa forskare som begärde information om misstänkta domäner och kunde märka dem som tillhör den korrekta botnet automatiskt. Dessutom gjorde vi en utvärdering på 1.153.516 domäner, inklusive AGDs från både moderna (t.ex., Bamital) och traditionella (t.ex., Conficker, Torpig) botnät. Vår strategi korrekt isolerade familjer av AGDs som tillhörde olika DGAs, och som automatiskt genereras från icke-automatiskt genererade domäner isär i 94,8 procent av fallen.
Schiavoni m.fl. REF utvecklade en rad oövervakade klassificeringar för att identifiera AGD och deras domängenereringsalgoritmer.
Tracking and Characterizing Botnets Using Automatically Generated Domains
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}