تشخيص هوشمند كرم‌هاي نهان در شبكه‌هاي رايانه‌اي

Smart Detection of Covert Worms in Computer Networks

يكي از تهديدات اساسي درفضاي سايبر، بد افزارهاي پيچيده‌اي مي‌باشد كه به قصد جاسوسي و تخريب سامانه‌ها در زيرساخت‌هاي حياتي كشور گسترش يافته ‌است. آنچه در اين مقاله ارائه ‌شده روشي هوشمند در كشف كرم‌هاي نهاني مي‌باشد كه مي ­تواند چند ريختي و رمز شده بوده و ماهيت آنها هنوز براي ابزارهاي دفاعي ناشناخته باقي مانده ‌است. براي اين منظور با تأكيد بر ويژگي­ هاي پويش كرم، مدل ارتباطات ميزبان­ هاي آلوده و سرآيند بسته ­هاي ارسالي روي بستر شبكه، راه­كاري مبتني بر روش‌هاي داده‌كاوي در كشف گسترش ­هاي مخرب ارائه نموديم. با خوشه ­بندي داده­ هاي پاك و استفاده از رده ­بندي داده­ هاي پاك و آلوده و به‌كارگيري نمونه­ هاي آزمايشگاهي توانستيم بهترين مدل را به كمك روش درخت تصميم C5 با صحت % 94/49، دقت %92/92 و با بازخواني %94/70 در كشف بسته­ هاي آلوده از پاك ارائه نماييم. در نهايت نيز نشان داديم كه استفاده از خوشه ­بندي در الگوهاي ترافيك ميزبان­ هاي پاك نتايج بهتري را در شناخت ترافيك­ هاي آلوده به ‌دست مي ­آورد.

Complex malwares which infiltrate systems in a country’s critical infrastructure with the purpose of destruction or espionage are major threats in cyber space. What is presented in this article is a smart solution to discover zero day worms which can be polymorphic and encrypted and their nature is still unknown to defense tools.To do this, we first outlined our desirable detector and then presented a solution based on data mining methods for detecting malicious extensions with the emphasis on worm’s scanning feature, communication model of the infected hosts and the packets’ headers transmitted across the network.By clustering clean data, and using clean and contaminated data classifications, experimental samples and the C5 decision tree, we managed to present the best model with an accuracy of 94.49%, precision of 92.92%, and a recall of 94.70% in identifying infected packages from the clean ones. Finally, we also showed that the use of clustering in the patterns of clean hosts’ traffic could reach better results in identifying infected traffic.