[论文解读] Multi-phase IRC Botnet and Botnet Behavior Detection Model

Aymen Hasan Rashid Al Awadi, Bahari Belaton|arXiv (Cornell University)|Jan 13, 2015

Network Security and Intrusion Detection参考文献 3被引用 12

一句话总结

该论文提出了一种基于多阶段、IDS 的 IRC 机器人网络检测模型，通过分析命令与控制（C&C）响应消息及恶意行为，识别感染主机、过滤恶意流量，并检测机器人网络活动，而无需依赖通信协议。在真实网络流量记录上进行评估，该模型实现了近乎完美的检测效果，且误报率较低，优于现有方法，因其避免了对固定时间窗口或特定机器人签名的依赖。

ABSTRACT

Botnets are considered one of the most dangerous and serious security threats facing the networks and the Internet. Comparing with the other security threats, botnet members have the ability to be directed and controlled via C&C messages from the botmaster over common protocols such as IRC and HTTP, or even over covert and unknown applications. As for IRC botnets, general security instances like firewalls and IDSes do not provide by themselves a viable solution to prevent them completely. These devices could not differentiate well between the legitimate and malicious traffic of the IRC protocol. So, this paper is proposing an IDS-based and multi-phase IRC botnet and botnet behavior detection model based on C&C responses messages and malicious behaviors of the IRC bots inside the network environment. The proposed model has been evaluated on five network traffic traces from two different network environments (Virtual network and DARPA 2000 Windows NT Attack Data Set). The results show that the proposed model could detect all the infected IRC botnet member(s), state their current status of attack, filter their malicious IRC messages, pass the other normal IRC messages and detect the botnet behavior regardless of the botnet communication protocol with very low false positive rate. The proposed model has been compared with some of the existing and well-known approaches, including BotHunter, BotSniffer and Rishi regarding botnet characteristics taken in each approach. The comparison showed that the proposed model has made a progress on the comparative models by not to rely on a certain time window or specific bot signatures.

研究动机与目标

• 解决传统安全设备（如防火墙和 IDS）难以区分恶意 IRC 流量与合法流量的局限性。
• 开发一种检测模型，可在不依赖预定义时间窗口或机器人签名的情况下，识别 IRC 机器人网络成员及其攻击状态。
• 过滤恶意 IRC 消息，同时允许正常 IRC 通信无阻碍通过。
• 无论机器人网络使用何种底层通信协议，均可检测其行为。
• 与 BotHunter、BotSniffer 和 Rishi 等现有方法相比，提升检测准确率并降低误报率。

提出的方法

• 该模型采用基于分析 IRC 机器人 C&C 响应消息的多阶段检测方法。
• 通过识别命令与控制信令等指示恶意行为的模式，对 IRC 流量进行分类。
• 系统监控网络流量中与机器人网络操作相关的异常行为，包括命令执行和数据外泄模式。
• 利用两个环境的网络流量记录：虚拟网络和 DARPA 2000 Windows NT 攻击数据集。
• 检测逻辑设计为协议无关，可识别无论底层使用何种通信协议的机器人网络活动。
• 模型采用基于规则和基于行为的分类引擎，以区分良性与恶意 IRC 流量。

实验结果

研究问题

• RQ1 仅通过 C&C 响应消息，检测模型能否识别 IRC 机器人网络成员及其当前攻击状态？
• RQ2 该模型在不依赖固定时间窗口或特定机器人签名的情况下，多大程度上能有效区分恶意 IRC 流量与合法 IRC 流量？
• RQ3 该模型在不同通信协议下检测机器人网络行为的能力如何？
• RQ4 当应用于真实世界网络流量记录时，该模型的误报率是多少？
• RQ5 与 BotHunter、BotSniffer 和 Rishi 等成熟机器人网络检测系统相比，该模型的性能表现如何？

主要发现

• 所提出的模型在评估的网络流量记录中成功检测出所有受感染的 IRC 机器人网络成员。
• 该模型准确报告了每个机器人当前的攻击阶段状态，实现了实时态势感知。
• 它有效过滤了恶意 IRC 消息，同时允许正常 IRC 通信无中断通过。
• 该模型表现出极低的误报率，表明在区分恶意与良性行为方面具有高度精确性。
• 与 BotHunter、BotSniffer 和 Rishi 等现有方法相比，该模型通过避免依赖特定时间窗口或基于签名的检测，表现更优。
• 无论机器人网络使用何种底层通信协议，该模型的检测能力均保持稳健，证实了其协议无关的行为检测能力。