[论文解读] Review of Peer-to-Peer Botnets and Detection Mechanisms

Khoh Choon Hwa, Selvakumar Manickam+1 more|arXiv (Cornell University)|Jul 17, 2022

Network Security and Intrusion Detection被引用 4

一句话总结

本文全面回顾了点对点（P2P）僵尸网络架构、命令与控制（C&C）机制以及检测技术，分析了其优势、局限性以及实时检测的挑战。评估了基于图、数据挖掘、机器学习和通用框架的方法，结论指出：目前尚无单一方法能可靠地实现实时检测不断演化的僵尸网络，凸显了对自适应、实时检测系统的需求。

ABSTRACT

Cybercrimes are becoming a bigger menace to both people and corporations. It poses a serious challenge to the modern digital world. According to a press release from 2019 Cisco and Cybersecurity Ventures, Cisco stopped seven trillion threats in 2018, or 20 billion threats every day, on behalf of its clients. According to Cybersecurity Ventures, the global cost of cybercrime will reach \$6 trillion annually by 2021, which is significantly more than the annual damage caused by all natural disasters and more profitable than the global trade in all major illegal narcotics put together. Malware software, including viruses, worms, spyware, keyloggers, Trojan horses, and botnets, is therefore frequently used in cybercrime. The most common malware employed by attackers to carry out cybercrimes is the botnet, which is available in a variety of forms and for a variety of purposes when attacking computer assets. However, the issue continues to exist and worsen, seriously harming both enterprises and people who conduct their business online. The detection of P2P (Peer to Peer) botnet, which has emerged as one of the primary hazards in network cyberspace for acting as the infrastructure for several cyber-crimes, has proven more difficult than regular botnets using a few existing approaches. As a result, this study will explore various P2P botnet detection algorithms by outlining their essential characteristics, advantages and disadvantages, obstacles, and future research.

研究动机与目标

• 分析P2P僵尸网络的生命周期、分类体系及通信结构。
• 从关键性能维度评估现有检测机制——基于图、数据挖掘、机器学习和通用框架——的性能表现。
• 识别当前检测方法中的关键局限性，尤其是其对离线分析的依赖以及可扩展性差的问题。
• 强调迫切需要开发能够实现实时、自适应检测的系统，具备对网络流量进行实时分析与分类的能力。
• 通过总结P2P僵尸网络检测中的开放挑战与研究空白，为未来研究奠定基础。

提出的方法

• 采用检测机制的分类体系，对P2P僵尸网络检测技术进行系统性综述：基于图的方法（如BotGrep）、数据挖掘、机器学习以及通用框架（如BotMiner）。
• 通过将P2P僵尸网络流量建模为网络图，利用Kademlia拓扑模式识别结构异常，分析基于图的检测方法。
• 应用数据挖掘技术，包括特征提取（如API调用、二进制字符串、程序行为）以及聚类或有监督学习模型的分类。
• 通过随机森林提取流特征，并利用有监督学习模型实现实时网络流量分类，评估基于机器学习的检测方法。
• 评估通用框架（如BotMiner）通过数据包和流级相关性检测僵尸网络行为的能力，尽管其可扩展性有限。
• 基于检测已知/未知僵尸机、加密C&C通道、实时能力及准确率等标准，对检测方法进行比较，并提供性能总结的表格。

实验结果

研究问题

• RQ1 P2P僵尸网络架构在设计与通信结构上如何不同，特别是在去中心化C&C机制方面？
• RQ2 基于图、数据挖掘和机器学习的检测方法在识别P2P僵尸网络方面具有哪些关键优势与局限性？
• RQ3 为何现有检测技术难以实现对不断演化的僵尸网络流量的一致性实时检测？
• RQ4 在检测具有加密C&C通道或未知威胁家族的僵尸网络时，主要面临哪些挑战？
• RQ5 为实现可扩展、实时且自适应的P2P僵尸网络检测，必须解决哪些关键研究空白？

主要发现

• 基于图的检测方法（如BotGrep）通过将网络流量建模为图并检测结构异常，能有效识别P2P僵尸网络，尤其在Kademlia拓扑中表现突出。
• 基于数据挖掘的方法通过提取API调用、二进制模式等动态特征，实现高检测准确率，但依赖高质量训练数据，且对模型质量敏感。
• 基于机器学习的检测方法利用流特征与随机森林，可实现实时网络流量分类，但性能高度依赖特征工程与模型训练质量。
• 通用框架（如BotMiner）在小规模检测中有效，但因依赖细粒度的数据包与流分析，可扩展性差。
• 单一检测方法无法始终同时识别已知与未知僵尸网络，尤其在C&C通道加密或协议混淆时更为困难。
• 目前大多数检测技术为离线、批处理模式，缺乏实时适应能力，导致在应对快速演化的P2P僵尸网络威胁时存在关键防护缺口。