روشی مستقل از ساختار و پروتکل فرمان و کنترل برای تشخیص بات نت ها

بات نت ها به عنوان یکی از مهم ترین تهدیدات امنیتی بر روی زیرساخت اینترنت محسوب می شوند که برای فعالیت های مخربی از قبیل انجام حملات جلوگیری از سرویس توزیع شده، ارسال هرزنامه، نشت اطلاعات و کلاه برداری در تعداد کلیک مورد استفاده قرار می گیرند. روش های موجود برای تشخیص بات نت ها ایده های خوبی را ارائه کرده اند، اما اکثر آن ها نمی توانند بات نت ها را در مراحل آغازین از چرخه حیات بات نت تشخیص دهند و یا وابسته به ساختار و پروتکل خاصی از کانال فرمان و کنترل یک بات نت می باشند. در پژوهش حاضر برای حل این مشکلات ابتدا روشی به نام botonus ارائه می شود که از رفتارهای ذاتی بات نت ها برای تشخیص مستقل از ساختار و پروتکل کانال فرمان و کنترل یک بات نت بهره می گیرد. این روش با به کارگیری یک الگوریتم خوشه بندی با شعاع ثابت پیشنهادی و یک معیار شباهت درون خوشه ای برای تحلیل خوشه ها، قادر است بات نت ها را در مرحله فرمان و کنترل از چرخه حیات آن ها به صورت برخط تشخیص دهد. برای کاهش نرخ هشدار نادرست روش دیگری به نام botgrab پیشنهاد می شود این روش یک سیستم تشخیص بات نت مبتنی بر شهرت است که با بهره گیری از ایده botonus میزبان های آلوده به بات را بر اساس سابقه شرکت در فعالیت های گروهی هماهنگ و انجام فعالیت های بدخواهانه آن ها در شبکه تحت نظارت شناسایی می کند. برای این منظور ابتدا به میزبان هایی که در فعالیت های گروهی هماهنگ شرکت می کنند مشکوک می شود و بر اساس سابقه شرکت آن ها در این نوع فعالیت ها یک امتیاز شهرت برای میزبان های مشکوک محاسبه می کند. سپس بر اساس یک تصمیم آگاهانه میزبان های آلوده به بات را شناسایی می کند، به شرطی که امتیاز شهرت آن میزبان از یک حد آستانه بیشتر شود و یا با امتیاز شهرت اندک، فعالیت های بدخواهانه ای را در شبکه انجام داده باشد. آزمایش های متعددی به منظور ارزیابی کارایی روش های botonus و botgrab برای تشخیص بات نت های مختلفی از نوع متمرکز و غیرمتمرکز انجام شده است. نتایج آزمایش ها نشان می دهد که botonus قادر است تا بات نت ها را به طور متوسط با نرخ تشخیص 94.33% و نرخ هشدار نادرست 3.74% شناسایی کند. botgrab نیز بات نت ها را با توجه به فعالیت های گروهی هماهنگ آن ها به طور متوسط با نرخ تشخیص 94.45% و نرخ هشدار نادرست 1.64% تشخیص می دهد.