Content Agnostic Malware Detection in Networks

Abstract

Bots sind verantwortlich für viele Sicherheitsprobleme im Internet - sie versenden Spam, stehlen Informationen von infizierten Rechnern und führen verteilte Denial-of-Service-Attacken aus. In Anbetracht ihrer Sicherheitsauswirkungen ist es nicht verwunderlich, dass eine große Anzahl von Techniken zur Boterkennung und Einflussminderung vorgeschlagen wurden. Hierzu zählen sowohl Netzwerk- als auch Endhost-basierte Ansätze.

Bots auf dem Netzwerk-Level zu erkennen ist vorteilhaft gegenüber Host-basierten Lösungen, da hierdurch die effiziente Analyse vieler Hosts ohne die Notwendigkeit von Endhost-Installationen ermöglicht wird. Derzeitige Netzwerk-basierte Botnet-Nachweisverfahren zielen darauf ab, den Command-and-Control-Traffic zwischen den Bots und ihrem Botmaster auszunutzen. Die deutliche Mehrheit dieser Verfahren basiert hierbei auf der Analyse von Paketnutzlasten, wobei die vorgeschlagenen Ansätze von der einfachen signaturbasierten Mustererkennung bis hin zur strukturellen Analyse von Command-and-Control-Traffic reichen. Leider wird die verwendete Inspektion der Paketnutzlasten zunehmend wirkungslos, da Schadsoftware-Autoren begonnen haben, die Kommunikation zu verschleiern oder zu verschlüsseln.

Diese Arbeit stellt BotFinder vor - ein neuartiges System, das individuelle Schadsoftware-infizierte Rechner in einem Netzwerk erkennen kann und ausschließlich auf den statistischen Mustern ihres Netzwerkverkehrs arbeitet ohne Paketinhalte zu analysieren. BotFinder nutzt Techniken des maschinellen Lernens um die wesentlichen Merkmale von Command-and-Control-Kommunikation zu abzuleiten. Das Lernen erfolgt dabei auf vorab beobachtetem Netzwerkverkehr des Bots innerhalb einer kontrollierten Umgebung. Als Ergebnis erzeugt BotFinder Modelle, die auf Edge-Routern zur Identifikation infizierter Hosts im Netzwerk eingesetzt werden können. Das System wurde auf verschiedenen Bot-Familien trainiert und die Erkennungsrate für Bots auf realem Netzwerkverkehr getestet. Erwähnenswert ist hierbei insbesondere die Analyse auf den NetFlow-Daten eines großen Internet-Service-Providers, die mehr als 25 Milliarden Verbindungen enthalten, was circa einem halben Petabyte Netzwerknutzlast entspricht. Die Ergebnisse zeigen, dass BotFinder hohe Erkennungsraten bei gleichzeitig sehr niedriger Fehlerrate erreicht.