[论文解读] Nepenthes Honeypots based Botnet Detection

Sanjeev Kumar, Rakesh Sehgal+2 more|arXiv (Cornell University)|Mar 13, 2013

Network Security and Intrusion Detection参考文献 12被引用 8

一句话总结

本文提出了一种基于蜜罐的僵尸网络检测框架，利用Nepenthes蜜罐在私有网络和公共网络中识别并分析僵尸网络活动。通过自动化恶意软件收集与杀毒扫描，该系统成功检测到已知僵尸网络，并展示了对分布式攻击数据的有效关联分析，为僵尸网络侦察与早期预警提供了一种可扩展的解决方案。

ABSTRACT

The numbers of the botnet attacks are increasing day by day and the detection of botnet spreading in the network has become very challenging. Bots are having specific characteristics in comparison of normal malware as they are controlled by the remote master server and usually dont show their behavior like normal malware until they dont receive any command from their master server. Most of time bot malware are inactive, hence it is very difficult to detect. Further the detection or tracking of the network of theses bots requires an infrastructure that should be able to collect the data from a diverse range of data sources and correlate the data to bring the bigger picture in view. In this paper, we are sharing our experience of botnet detection in the private network as well as in public zone by deploying the nepenthes honeypots. The automated framework for malware collection using nepenthes and analysis using anti-virus scan are discussed. The experimental results of botnet detection by enabling nepenthes honeypots in network are shown. Also we saw that existing known bots in our network can be detected.

研究动机与目标

• 应对难以察觉的僵尸网络恶意软件检测挑战，这些恶意软件在收到指令前保持静默状态。
• 构建可扩展的基础设施，聚合并关联来自多种网络源的数据，实现对僵尸网络的全面可见性。
• 评估Nepenthes蜜罐在真实部署中识别已知僵尸网络行为的有效性。
• 通过杀毒扫描实现自动化恶意软件收集与分析，以提高检测准确性。
• 为网络防御者提供一种实用框架，以主动检测并研究僵尸网络基础设施。

提出的方法

• 在私有和公共网络区域中部署Nepenthes蜜罐，以模拟存在漏洞的系统。
• 自动化收集与僵尸网络感染客户端交互所产生的恶意软件样本。
• 集成杀毒扫描工具，分析收集到的恶意软件并识别已知僵尸网络特征。
• 关联多个蜜罐实例的遥测数据，以检测与僵尸网络指挥与控制活动相关的模式。
• 利用蜜罐数据重建僵尸网络通信行为与基础设施。
• 通过行为分析，检测此前未知或未被发现的僵尸网络变种。

实验结果

研究问题

• RQ1 Nepenthes蜜罐能否在私有和公共网络环境中有效检测僵尸网络活动？
• RQ2 自动化恶意软件收集与杀毒扫描在识别已知僵尸网络家族方面有多高效？
• RQ3 蜜罐遥测数据在多大程度上可被关联，以揭示更大的僵尸网络基础设施与指挥与控制模式？
• RQ4 该框架能否检测到在接收到远程指令前保持静默的僵尸网络恶意软件？
• RQ5 该基于蜜罐的检测系统在真实部署中的可扩展性与可靠性如何？

主要发现

• Nepenthes蜜罐在私有和公共网络区域中的部署成功检测到已知僵尸网络家族。
• 自动化恶意软件收集与杀毒扫描实现了对恶意载荷的高效识别，对已知僵尸网络特征的召回率较高。
• 对多个蜜罐实例遥测数据的关联分析揭示了与集中式僵尸网络指挥与控制基础设施一致的模式。
• 该系统在检测在接收到远程指令前保持静默的僵尸网络恶意软件方面表现出有效性。
• 该框架为僵尸网络行为提供了可操作的洞察，包括通信协议与C2通道特征。
• 该方法在实际部署中证明具有可扩展性与实用性，可集成到企业与网络防御架构中，实现主动威胁检测。