Comportamento Periódico em Tráfego de Canais de Comando e Controle de Botnets

Uma botnet é uma grande rede de bots que estão sob o controle de um bot herder. As botnets se tornaram uma ameaça significativa para as comunicações e aplicações de rede. A execução das botnets depende do tráfego dos canais de comunicação de Comando e Controle (C2), que ocorre antes da própria atividade de ataque. Portanto, a detecção do tráfego dos canais de comunicação C2 permite a identificação dos membros de uma botnet antes que qualquer alvo seja atacado. Estudamos o comportamento periódico do tráfego C2 que é causado pelo comportamento pré-programado dos bots de verificar e baixar atualizações a cada T segundos. Usamos esse comportamento periódico do tráfego C2 para detectar bots. Isso envolve avaliar o periodograma do tráfego na rede monitorada. Em seguida, aplicamos o teste de grande amostra de Walker à ordenada máxima do periodograma para determinar se é devido a um componente periódico alto no tráfego ou não, e, se for, então é tráfego de bot. Aplicamos o teste a uma botnet TinyP2P gerada pelo SLINGbot e mostramos um forte comportamento periódico no tráfego dos bots. Estudamos o efeito do comprimento do período e do ciclo ativo do tráfego C2 no desempenho do teste e descobrimos que ele aumenta com o aumento do ciclo ativo e/ou a diminuição do comprimento do período. Analisamos o desempenho do teste na presença de tráfego de ruído aleatório injetado e desenvolvemos um limite inferior e um superior para o desempenho do teste.