基于深度学习的字典DGA网络流量实时检测
密码学与安全
2020-03-31 v1 机器学习
摘要
僵尸网络与恶意软件在使用域名生成算法（DGA）回调唯一、动态生成的网址时，持续规避基于静态规则引擎的检测。常见的DGA检测技术难以可靠检测那些组合随机字典词以构造与合法域名高度相似的域名之DGA变体。为此，我们创建了一种新颖的混合神经网络——Bilbo“bagging”模型，用于分析域名并评分其由此类算法生成因而可能恶意的似然。Bilbo是首个并行使用卷积神经网络（CNN）与长短期记忆（LSTM）网络进行DGA检测的模型。相较于当前最先进的深度学习架构，我们独特的架构在不同字典DGA分类任务泛化时，于AUC、F1分数与准确率方面表现最为稳定。我们使用逆向工程的字典DGA域名进行验证，并详述了在大型金融企业内对真实世界网络日志评分的实时实施策略。在四小时实际网络流量中，该模型发现了至少五个商业厂商工具未标记的潜在命令与控制网络。
引用
@article{arxiv.2003.12805,
title = {Real-Time Detection of Dictionary DGA Network Traffic using Deep Learning},
author = {Kate Highnam and Domenic Puzio and Song Luo and Nicholas R. Jennings},
journal= {arXiv preprint arXiv:2003.12805},
year = {2020}
}
备注
12 pages, 6 figures, PrePrint, code on Github (https://github.com/jinxmirror13/bilbo-bagging-hybrid)