봇넷 명령 및 제어 채널 트래픽의 주기적 행동

봇넷은 봇 관리자의 통제를 받는 큰 봇 네트워크입니다. 봇넷은 네트워크 통신 및 애플리케이션에 중대한 위협이 되고 있습니다. 봇넷의 실행은 공격 활동 자체 이전에 발생하는 명령 및 제어(C2) 통신 채널 트래픽에 의존합니다. 따라서 C2 통신 채널 트래픽을 탐지하면 어떤 목표가 공격받기 전에 봇넷의 구성원을 탐지할 수 있습니다. 우리는 T초마다 업데이트를 확인하고 다운로드하기 위해 프로그램된 봇의 행동으로 인해 발생하는 C2 트래픽의 주기적 행동을 연구합니다. 우리는 C2 트래픽의 이러한 주기적 행동을 사용하여 봇을 탐지합니다. 이는 모니터링 네트워크에서 트래픽의 주기 도표를 평가하는 것을 포함합니다. 그런 다음 이 주기 도표의 최대 세로값에 대해 워커의 대샘플 테스트를 적용하여 높은 주기적 성분에 의한 것인지 아닌지를 판단하고, 만약 그렇다면 그것은 봇 트래픽입니다. 우리는 SLINGbot에 의해 생성된 TinyP2P 봇넷에 이 테스트를 적용하고 봇 트래픽에서 강한 주기적 행동을 보여줍니다. 우리는 C2 트래픽의 주기 길이와 듀티 사이클이 테스트 성능에 미치는 영향을 연구하고, 듀티 사이클이 증가하거나 주기 길이가 감소할수록 성능이 향상된다는 것을 발견합니다. 우리는 주입된 임의 노이즈 트래픽이 존재하는 경우의 테스트 성능을 분석하고 테스트 성능에 대한 하한과 상한을 개발합니다.