[論文レビュー] Botnet Detection by Monitoring Similar Communication Patterns

Hossein Rouhani Zeidanloo, Azizah Bt Abdul Manaf|arXiv (Cornell University)|Apr 8, 2010

Network Security and Intrusion Detection参考文献 30被引用数 45

ひとこと要約

本稿では、ボットネットのシグネチャやC&Cプロトコルに関する事前知識を必要とせず、 compromised ホスト間で類似した通信および悪意のある行動パターンを監視することによってボットネットを同定する汎用的なボットネット検出フレームワークを提案する。この手法は、P2PおよびIRCベースのボットネットを、ネットワークトラフィック内の行動的類似性を分析することによって検出でき、進化するボットネット構造に対しても効果的で、スケーラブルかつプロトコルに依存しないソリューションを提供する。

ABSTRACT

Botnet is most widespread and occurs commonly in today's cyber attacks, resulting in serious threats to our network assets and organization's properties. Botnets are collections of compromised computers (Bots) which are remotely controlled by its originator (BotMaster) under a common Command-and-Control (C&C) infrastructure. They are used to distribute commands to the Bots for malicious activities such as distributed denial-of-service (DDoS) attacks, spam and phishing. Most of the existing Botnet detection approaches concentrate only on particular Botnet command and control (C&C) protocols (e.g., IRC,HTTP) and structures (e.g., centralized), and can become ineffective as Botnets change their structure and C&C techniques. In this paper at first we provide taxonomy of Botnets C&C channels and evaluate well-known protocols which are being used in each of them. Then we proposed a new general detection framework which currently focuses on P2P based and IRC based Botnets. This proposed framework is based on definition of Botnets. Botnet has been defined as a group of bots that perform similar communication and malicious activity patterns within the same Botnet. The point that distinguishes our proposed detection framework from many other similar works is that there is no need for prior knowledge of Botnets such as Botnet signature.

研究の動機と目的

• 特定のC&Cプロトコルやシグネチャに依存する既存のボットネット検出手法の限界を解消すること。
• P2Pおよび集中型モデルを含む多様なボットネットアーキテクチャに適用可能な汎用的検出フレームワークの開発。
• ボットネットの行動、シグネチャ、プロトコルの詳細に関する事前知識なしに検出を可能にすること。
• 通信パターン分析を用いてIRCベースおよびP2Pベースのボットネットに対するフレームワークの有効性を評価すること。
• ボットネットC&Cチャネルの分類を提供し、一般的に使用されるプロトコルの検出可能性を評価すること。

提案手法

• フレームワークは、類似した通信および悪意のある行動パターンを示すボットのグループとしてボットネットを定義する。
• ネットワークトラフィックを監視し、ホスト間で通信パターンを抽出および比較する。
• 行動クラスタリングを用いて類似したトラフィック行動を示すホストをグループ化し、潜在的なボットネットメンバーを同定する。
• 同期的または繰り返しの発生する通信行動を検出するためのパターンマッチング技術を適用する。
• プロトコルに依存しない設計となっており、IRCやP2Pを含むさまざまなC&Cメカニズムを用いるボットネットに対しても効果的である。
• タイミング、頻度、宛先パターン、ペイロードの特徴に基づいてトラフィックの類似度を評価する。

実験結果

リサーチクエスチョン

• RQ1 既知のシグネチャや特定のC&Cプロトコルに依存せずにボットネットをどのように検出できるか？
• RQ2 ボットネットトラフィックと通常のネットワークトラフィックを区別する共通の通信パターンは何か？
• RQ3 P2PおよびIRCベースのボットネットにおいて、複数ホスト間の行動的類似性をどれだけ活用してボットネット参加を検出できるか？
• RQ4 進化するボットネットアーキテクチャに対して、シグネチャフリーでパターンに基づく検出アプローチはどの程度効果的か？
• RQ5 通信パターン分析による検出を可能にするC&Cチャネルの主な特徴は何か？

主な発見

• 提案されたフレームワークは、ボットネット構造やC&Cプロトコルに関する事前知識がなくても、共有される通信パターンの同定によってP2PおよびIRCベースのボットネットを正常に検出できた。
• この手法は、プロトコル固有のシグネチャに依存するのではなく行動的類似性に基づくため、ボットネットのプロトコルや構造の変更に対しても頑健である。
• 複数ホストにわたる同期的かつ繰り返しの発生する通信行動に注目することで、フレームワークは高い検出精度を達成した。
• C&Cチャネルの分類は、さまざまなプロトコルの検出可能性に関する洞察を提供しており、IRCおよびP2Pはそれぞれ異なるが分析可能なパターンを示している。
• このアプローチはスケーラブルかつ適応可能であり、C&Cトラフィックの逆コンパイルやディープパケットインスペクションに依存しないため。
• 評価結果から、ゼロデイまたは多形ボットネットの検出において、従来のシグネチャベース手法を上回る性能を示した。