[论文解读] Real-time Peer-to-Peer Botnet Detection Framework based on Bayesian Regularized Neural Network

Sharath Chandra Guntuku, Pratik Narang+1 more|arXiv (Cornell University)|Jul 29, 2013

Network Security and Intrusion Detection参考文献 23被引用 18

一句话总结

本文提出了一种基于贝叶斯正则化神经网络（BRNN）的实时P2P僵尸网络检测框架，用于在实时网络流量中检测此前未见过的僵尸网络。通过利用贝叶斯正则化提升泛化能力，该框架在未见过的僵尸网络数据集上实现了99.2%的准确率，从而能够在无需针对其进行前期训练的情况下，有效检测新型及演化的P2P僵尸网络变种。

ABSTRACT

Over the past decade, the Cyberspace has seen an increasing number of attacks coming from botnets using the Peer-to-Peer (P2P) architecture. Peer-to-Peer botnets use a decentralized Command & Control architecture. Moreover, a large number of such botnets already exist, and newer versions- which significantly differ from their parent bot- are also discovered practically every year. In this work, the authors propose and implement a novel hybrid framework for detecting P2P botnets in live network traffic by integrating Neural Networks with Bayesian Regularization. Bayesian Regularization helps in achieving better generalization of the dataset, thereby enabling the detection of botnet activity even of those bots which were never used in training the Neural Network. Hence such a framework is suitable for detection of newer and unseen botnets in live traffic of a network. This was verified by testing the Framework on test data unseen to the Detection module (using untrained botnet dataset), and the authors were successful in detecting this activity with an accuracy of 99.2 %.

研究动机与目标

• 解决去中心化P2P僵尸网络日益增长的威胁，这些僵尸网络可规避传统集中式C&C检测方法。
• 开发一种实时检测系统，能够识别新型及此前未见的P2P僵尸网络变种。
• 通过贝叶斯正则化提升模型泛化能力，减少过拟合，增强在未见数据上的鲁棒性。
• 实现在无需对每个新变种重新训练的情况下，有效检测不断演化的僵尸网络行为。
• 在真实未训练过的僵尸网络流量上验证框架性能，实现高准确率。

提出的方法

• 该框架采用贝叶斯正则化神经网络（BRNN）来建模网络流量模式，并检测指示P2P僵尸网络活动的异常行为。
• 在训练过程中应用贝叶斯正则化，以优化权重衰减并提升泛化能力，减少对训练数据的过拟合。
• 对网络流量执行特征提取，以捕捉连接频率、数据包大小和通信模式等行为特征。
• 使用已知的P2P僵尸网络流量训练BRNN，随后在未见过的僵尸网络数据集上进行测试，以评估其泛化能力。
• 通过持续使用训练好的BRNN模型分析网络流量流，实现实时检测。
• 该框架采用统计流量分析与神经网络分类相结合的混合方法，以实现稳健的检测效果。

实验结果

研究问题

• RQ1 贝叶斯正则化神经网络能否在实时网络流量中有效检测P2P僵尸网络？
• RQ2 BRNN在未见的、训练数据中不存在的P2P僵尸网络变种上，其泛化能力达到何种程度？
• RQ3 与标准神经网络相比，贝叶斯正则化在提升检测准确率和泛化能力方面有何改进？
• RQ4 该框架在未见僵尸网络流量上的检测准确率是多少？
• RQ5 当新型僵尸网络变种出现时，该框架能否在无需重新训练的情况下保持高性能？

主要发现

• 该框架在由未见过的僵尸网络流量组成的测试数据上实现了99.2%的检测准确率，证明了其强大的泛化能力。
• 贝叶斯正则化显著提升了模型泛化能力，使系统能够在无需重新训练的情况下检测新型僵尸网络行为。
• BRNN模型有效捕捉了P2P网络流量中指示僵尸网络活动的复杂非线性模式。
• 该系统成功实现实时检测P2P僵尸网络流量，证实其在真实网络环境中部署的可行性。
• 由于改进的正则化和权重优化，该框架在检测未见僵尸网络变种方面优于标准神经网络。
• 结果表明，贝叶斯正则化可增强检测不断演化的去中心化僵尸网络威胁的鲁棒性与可靠性。