تشخیص کرم های اینترنتی استتاری با استفاده از ماشین بردار پشتیبان تک کلاسی

کرم اینترنتی بدافزاری است که قادر به انتشار و تکثیر خود از طریق شبک ههای کامپیوتری و بدون دخالت عامل انسانی است . نتایج بررسی های اخیر نشان می دهد که برخی از کرم های اینترنتی در مراحل مختلف چرخه حیات خود به ویژه در مرحله پوی ش میزبان هایقربانی هوشمندتر شده اند. در این مقاله، روشی برای تشخیص کرم های اینترنتی استتاری پیشنهاد می شود. این کرم های هوشمندمیزبان های شبکه را به صورت کنترل شده پویش می کنند تا از افزایش نمایی نرخ پویش جلوگیری شود. روش پیشنهادی شامل دو مرحله آموزش و تشخیص است. در مرحله آموزش، ابتدا مجموعه ای از رکوردهای پویش غیرکرمی به عنوان ورودی دریافت می شود .سپس برای هر میزبان پویشگر در این مجموعه دادگان یک بردار شامل پنج ویژگی تعداد میزبان های پویشی متفاوت، نسبت تعدادمیزبان های پویشی متفاوت به تعداد کل پویش ها، طول مدت پویش، تعداد بازه های پویش و تنوع درگاه های مقصد استخراج می شود.این بردارهای ویژگی به عنوان ورودی به طبقه بند تک کلاسی OCSVM داده شده و مدلی برای ترافیک پویش غیرکرمی ایجادمی شود. در مرحله تشخیص، در هر پنجره زمانی رکوردهای پویش از حسگرهای مختلف یک سیستم ناظر تهدیدات اینترنت دریافت شده و با توجه به مدل ایجاد شده در مرحله آموزش کرم استتاری تشخیص داده می شود. روش پیشنهادی با استفاده از مجموعه دادگان DShieldشش نوع ترافیک پویش کرم استتاری مورد ارزیابی قرار م یگیرد. این مجموعه دادگان در ماه مارس سال 2013 میلادی توسط سیستم ناظر تهدیدات اینترنت SANS ISC جمع آوری شده و به طور متوسط شامل نزدیک به 20 میلیون رکورد پویش در هر روز است. نتایج آزمایش ها نشان می دهند که روش پیشنهادی در مقایسه با روش های قبلی مصالحه بهتری میان نرخ تشخیص و نرخ هشدار نادرست برقرار می کند

کلیدواژه ها:

کرم اینترنتی ، کرم استتاری ، ترافیک پویش ، استخراج ویژگی ، ماشین بردار پشتیبان تک کلاسی