Erkennung bösartiger Websites durch Erlernen von IP-Adressmerkmalen

Webbasierte Malware-Angriffe sind zu einer der schwerwiegendsten Bedrohungen geworden, die dringend angegangen werden müssen. Verschiedene Ansätze, die als vielversprechende Methoden zur Erkennung solcher Malware Aufmerksamkeit erregt haben, umfassen die Verwendung verschiedener Schwarzlisten. Diese konventionellen Ansätze scheitern jedoch oft daran, neue Angriffe aufgrund der Vielseitigkeit bösartiger Websites zu erkennen. Daher ist es schwierig, aktuelle Schwarzlisten mit Informationen über neue bösartige Websites aufrechtzuerhalten. Um dieses Problem anzugehen, schlagen wir eine neue Methode zur Erkennung bösartiger Websites unter Verwendung der Merkmale von IP-Adressen vor. Unser Ansatz nutzt die empirische Beobachtung, dass IP-Adressen stabiler sind als andere Kennzahlen wie URL und DNS. Während die Zeichenfolgen, die URLs oder Domainnamen bilden, stark variabel sind, sind IP-Adressen weniger variabel, d.h. der IPv4-Adressraum wird auf 4-Byte-Zeichenfolgen abgebildet. Wir entwickeln ein leichtgewichtiges und skalierbares Erkennungsschema basierend auf der Technik des maschinellen Lernens. Ziel dieser Studie ist es nicht, eine einzelne Lösung zu bieten, die webbasierte Malware effektiv erkennt, sondern eine Technik zu entwickeln, die die Nachteile bestehender Ansätze ausgleicht. Wir validieren die Effektivität unseres Ansatzes, indem wir realen IP-Adressdaten von bestehenden Schwarzlisten und realen Verkehrsdaten in einem Campusnetzwerk verwenden. Die Ergebnisse zeigen, dass unsere Methode die Abdeckung/Genauigkeit bestehender Schwarzlisten erweitern und auch unbekannte bösartige Websites erkennen kann, die nicht von konventionellen Ansätzen abgedeckt sind.