تشخیص بات‌نت با استفاده از مدل مخفی مارکوف در وقفه‌های جریان

Abstract

بات‌نتها یکی از محبوبترین انواع بدافزارها در میان مجرمان اینترنتی هستند، به‌طوریکه اخیراً پایه‌ی اصلی بیشتر جرائم سایبری بوده‌اند. اغلب روش‌های تشخیص بات‌نت موجود نمی‌توانند آنها را به‌صورت بلادرنگ و قبل از مشارکت در یک حمله سایبری، تشخیص دهند. در این مقاله یک سیستم تشخیص بات‌نت مبتنی‌بر مدل مخفی مارکوف ارائه می‌شود. این سیستم قادر به تشخیص بات‌نت در بازه‌های زمانی خیلی کوچک از جریان شبکه بدون نیاز به بررسی کل جریان است. همچنین این روش علاوه‌بر تشخیص بات‌نت در مراحل اولیه از چرخه حیات، مرحله فعالیت آن (کانال فرمان و کنترل یا حمله) را نیز در هر لحظه تعیین می‌کند. بات‌نت BlackEnergy یکی از خطرناک‌ترین انواع بات‌نتهای مبتنی‌بر HTTP است، که در این پژوهش ترافیک شبکه آن مورد تحلیل و بررسی قرار می‌گیرد. ویژگی‌های شاخص و الگوهای رفتاری این بات‌نت در مراحل مختلف چرخه حیاتش استخراج می‌شود. سپس مدل مخفی مارکوف پیشنهادی جهت تشخیص بات‌نت BlackEnergy براساس ویژگی‌ها و الگوهای رفتاری آن ارائه می‌شود. برای ارزیابی مدل ارائه‌شده، از مجموعه داده‌جامع و معتبری از ترافیک شبکه استفاده می‌شود که نشان می‌دهد روش پیشنهادی حتی در پنجره‌های زمانی خیلی کوچک، دقت تشخیص بالایی نسبت به بسیاری از روش‌های دیگر دارد.