MONDEO：多阶段僵尸网络检测
密码学与安全
2023-09-01 v1 机器学习
摘要
移动设备已普及成为使用最广泛的技术产品。由于其特性，它们已成为僵尸网络相关恶意软件的主要目标。FluBot 是感染移动设备的僵尸网络恶意软件的一个例子。具体而言，FluBot 是一种基于 DNS 的僵尸网络，使用域名生成算法（DGA）与命令与控制服务器（C2）建立通信。MONDEO 是一种具有灵活设计的多阶段机制，用于检测基于 DNS 的僵尸网络恶意软件。MONDEO 轻量且可在不需于移动设备中部署软件、代理或配置的情况下部署，允许在核心网络中轻松集成。MONDEO 包含四个检测阶段：黑名单/白名单、查询速率分析、DGA 分析和机器学习评估。其创建目标是处理数据包流以在 distinct 阶段高效识别攻击。MONDEO 在多个数据集上进行了测试以衡量其效率和性能，使用 RandomForest 分类器能够实现高性能。实现代码可在 github 获取。
引用
@article{arxiv.2308.16570,
title = {MONDEO: Multistage Botnet Detection},
author = {Duarte Dias and Bruno Sousa and Nuno Antunes},
journal= {arXiv preprint arXiv:2308.16570},
year = {2023}
}