Identificando tráfego malicioso de botnets usando regressão logística

Uma fonte importante de ciberataques é o malware, que prolifera em diferentes formas, como botnets. O malware de botnet geralmente procura dispositivos vulneráveis na Internet, em vez de direcionar alvos específicos, como indivíduos, empresas ou indústrias. Ele tenta infectar o maior número possível de dispositivos conectados, utilizando seus recursos para tarefas automatizadas que podem causar danos econômicos e sociais significativos, enquanto permanece oculto para o usuário e o dispositivo. Assim, torna-se muito difícil detectar tal atividade. Um volume considerável de pesquisas foi conduzido para detectar e prevenir a infestação de botnet. Neste artigo, tentamos criar uma base para um sistema de detecção de intrusão baseado em anomalia, usando um método de aprendizado estatístico para melhorar a segurança da rede e reduzir o envolvimento humano na detecção de botnets. Focamos em identificar as melhores características para detectar atividade de botnet dentro do tráfego da rede, usando um modelo de regressão logística leve. O tráfego da rede é processado pelo Bro, um framework de monitoramento de rede popular que fornece estatísticas agregadas sobre os pacotes trocados entre uma fonte e um destino durante um determinado intervalo de tempo. Essas estatísticas servem como características para um modelo de regressão logística responsável por classificar o tráfego maligno e benigno. Nosso modelo é fácil de implementar e simples de interpretar. Caracterizamos e modelamos 8 famílias diferentes de botnets separadamente e como um conjunto de dados misto. Por fim, medimos o desempenho do nosso modelo em múltiplos parâmetros, usando F1 score, precisão e Área Sob a Curva (AUC).