تشخیص شبکه بات مبتنی بر الگوی رفتاری و کشف ناهنجاری

در این مستند سعی شده است تا روشی برای کشف حملات بات نت به کمک بررسی الگوی رفتاری شبکه و تشخیص ناهنجاری ارائه شود. فرایند تشخیص از مراحل تشکیل مدل شبکه ای، خوشه بندی اتصالات و خوشه بندی بر اساس مدل دوکی و بررسی گزارش تحلیل گر جانبی تشکیل شده است. این روش ترافیک شبکه را در قالبی با عنوان مدل شبکه ای، مدل سازی می کند. در مدل شبکه ای، یال های گراف به صورت برداری تعریف شده اند که مشخصات اتصال های بین دو گره را نگهداری می کند. این مدل، بر اساس ویژگی های بردار اتصال ها خوشه بندی می شود و گره هایی با رفتار مشابه در خوشه یکسان قرار داده می شوند. در ادامه، روشی با عنوان خوشه بندی مبتنی بر مدل دوکی، بر اساس رفتار ذاتی و ویژگی های عام حملات بات نت، طراحی و پیاده سازی شده است. سپس گزارش تحلیل گر جانبی برای تشخیص بات های غیر فعال استفاده می شود. فرایند تشخیص به صورت افزایشی و در قالب پنجره های زمانی یکسان است. به کمک این اقدام پیشینه ای از رفتار اعضای شبکه در مراحل قبلی در دست است که به دقت تشخیص کمک شایانی می کند. در آخر، روش پیشنهادی با بات های مشهوری مانند زئوس و اسپای بات مورد ارزیابی قرار گرفت. دقت تشخیص بات زئوس 90 درصد و دقت تشخیص بات اسپای بات 80 درصد ارزیابی شد. همچنین دقت تشخیص مدل پیشنهادی در تشخیص بات های مبتنی بر پروتکل گفتگوی اینترنتی و http، 100 درصد ارزیابی شده است.