[论文解读] Zero Botnets: An Observe-Pursue-Counter Approach

Jeremy Kepner, Jonathan Bernays+23 more|arXiv (Cornell University)|Jan 16, 2022

Network Security and Intrusion Detection被引用 10

一句话总结

本文提出了「观察-追击-反制」（Observe-Pursue-Counter, OPC）架构，通过协调的网络监测站与系统分析，实现实时检测、追踪和破坏恶意僵尸网络，以实现零僵尸网络的目标。该方法展示了技术可行性，并缩小了关于权限与数据访问的政策问题，倡导全球合作与网络科学的提升，以实现无僵尸网络的互联网。

ABSTRACT

Adversarial Internet robots (botnets) represent a growing threat to the safe use and stability of the Internet. Botnets can play a role in launching adversary reconnaissance (scanning and phishing), influence operations (upvoting), and financing operations (ransomware, market manipulation, denial of service, spamming, and ad click fraud) while obfuscating tailored tactical operations. Reducing the presence of botnets on the Internet, with the aspirational target of zero, is a powerful vision for galvanizing policy action. Setting a global goal, encouraging international cooperation, creating incentives for improving networks, and supporting entities for botnet takedowns are among several policies that could advance this goal. These policies raise significant questions regarding proper authorities/access that cannot be answered in the abstract. Systems analysis has been widely used in other domains to achieve sufficient detail to enable these questions to be dealt with in concrete terms. Defeating botnets using an observe-pursue-counter architecture is analyzed, the technical feasibility is affirmed, and the authorities/access questions are significantly narrowed. Recommended next steps include: supporting the international botnet takedown community, expanding network observatories, enhancing the underlying network science at scale, conducting detailed systems analysis, and developing appropriate policy frameworks.

研究动机与目标

• 应对由敌对僵尸网络引发的网络犯罪、影响力行动和基础设施攻击等日益增长的威胁。
• 确立全球性的‘零僵尸网络’愿景，作为推动国际政策与技术合作的统一目标。
• 分析‘观察-追击-反制’（OPC）架构在僵尸网络缓解方面的技术可行性。
• 通过系统层面的分析，缩小关于权限、访问权限和管辖权等关键政策问题的范围。
• 提出可操作的下一步措施，以加强全球僵尸网络清除能力。

提出的方法

• ‘观察-追击-反制’（OPC）框架整合了实时网络监控（观察）、自动化追踪僵尸网络行为（追击）以及协调防御行动（反制）。
• 网络监测站收集并关联全球基础设施中的遥测数据，以检测异常的僵尸网络活动。
• 应用系统分析来建模僵尸网络动态，并评估OPC架构的可扩展性与弹性。
• 该方法利用现有的网络科学与分布式数据收集技术，实现大规模、跨司法管辖区的检测与响应。
• 同步制定政策框架，以明确行动中的角色、责任以及法律数据访问协议。
• 通过仿真与案例研究对架构进行评估，以验证其技术可行性与操作约束。

实验结果

研究问题

• RQ1 协调的、大规模的‘观察-追击-反制’架构能否有效检测并破坏国际网络中的僵尸网络？
• RQ2 在实现跨司法管辖区僵尸网络清除时，会面临哪些技术和政策挑战，如何系统性地解决？
• RQ3 如何实现网络监测站的规模化与集成化，以提供对僵尸网络活动的实时可见性？
• RQ4 系统分析与建模在验证零僵尸网络目标可行性方面发挥何种作用？
• RQ5 需要哪些政策激励与国际合作机制，才能使OPC框架得以实际部署？

主要发现

• ‘观察-追击-反制’（OPC）架构在大规模检测与破坏僵尸网络方面具有技术可行性。
• 系统分析显著缩小了关于权限与网络数据访问权限等未决政策问题的范围。
• 全球合作与标准化的网络监测站对于有效清除僵尸网络至关重要。
• 该框架支持检测多种僵尸网络活动，包括DDoS攻击、垃圾邮件、勒索软件和广告欺诈。
• 本文识别出关键下一步行动：扩展网络监测站、加强网络科学研究，并制定政策框架。
• 该方法通过协调的、基于证据的行动，为实现零僵尸网络的宏伟目标提供了切实可行的路径。