LARGen: Geração Automática de Assinaturas para Malware Usando Alocação de Dirichlet Latente

À medida que a quantidade e a complexidade das ameaças de rede aumentam, os Sistemas de Detecção de Intrusão (IDSs) tornaram-se críticos para a segurança das redes. A detecção de intrusões em redes de computadores com esses IDSs requer experiência em tecnologia da informação e segurança em alto nível, pois o tráfego malicioso precisa ser rigorosamente analisado e as regras do IDS apropriadas escritas para detectar efetivamente vulnerabilidades que podem ser potencialmente exploradas. No entanto, regras de IDS incorretas podem produzir numerosos falsos positivos, degradando o desempenho do IDS e, pior ainda, paralisando a rede. Neste artigo, apresentamos uma abordagem nova que explora o algoritmo de Alocação de Dirichlet Latente (LDA) para gerar regras do IDS. Nosso método proposto, chamado Geração Automática de Regras Baseada em LDA (LARGen), realiza automaticamente uma análise do tráfego malicioso e extrai as assinaturas de ataque apropriadas que serão usadas para as regras do IDS. O LARGen primeiro extrai múltiplas cadeias de assinatura incorporadas nos fluxos de rede. Em seguida, os fluxos são classificados com base nas cadeias de assinatura extraídas, e cadeias de conteúdo chave para tráfego malicioso são identificadas através do modelo de tópico inferencial LDA. Essas cadeias de conteúdo chave são o núcleo de uma regra do IDS que pode detectar tráfego malicioso. Estudamos a eficácia do LDA no contexto da geração de assinaturas de ataque de rede através de extensos experimentos com dados reais de rastreamento de rede, consistindo em tráfego benigno e malicioso. Resultados experimentais confirmam que as regras de ameaça geradas pelo LARGen detectam com precisão cada ataque cibernético com alta acurácia.