Detecção de botnets baseada na análise de fluxos de rede utilizando estatística inversa

Abstract

Botnet é uma rede de computadores infectados, os quais são controlados remotamente por um cybercriminal, denominado botmaster e que tem como objetivo realizar ataques cibernéticos massivos, como DDoS, SPAM e roubo de informações. Os métodos tradicionais de detecção de botnets, normalmente baseados em assinatura, são incapazes de detectar botnets desconhecidas. A análise baseada em comportamento tem sido promissora para a detecção de tendências atuais de botnets, as quais estão em constante evolução. Considerando que um ataque de botnet à infraestrutura de TI do Centro de Coordenação de Operações Móvel (CCOp Mv) do Exército Brasileiro pode prejudicar o sucesso das operações, através do furto de informações sensíveis ou mesmo causando interrupção à sistemas críticos do CCOp Mv, esta dissertação propõe um mecanismo de detecção de botnets baseado na análise do comportamento de fluxos de rede. A técnica utilizada para detecção de botnets foi recentemente desenvolvida e é denominada Energy-based Flow Classifier (EFC). Essa técnica utiliza estatística inversa para detecção de anomalias e possui uma importante característica que é a sua fácil adaptação a novos domínios, o que pode ser promissor para detecção de botnets desconhecidas. Além disso, o EFC é um algoritmo considerado interpretável, permitindo analisar o modelo estatístico inferido. Com base nisso, propomos uma abordagem para seleção dos atributos mais informativos para a detecção de botnets, através da análise dos acoplamentos entre os pares de atributos calculados pelo EFC. Para avaliar a eficiência do modelo gerado, bem como avaliar os atributos selecionados pelo EFC, realizamos diversos experimentos, com três conjuntos de dados distintos. Os resultados obtidos foram comparados com diversos modelos gerados por algoritmos tradicionais de uma e de duas classes. Também fizemos experimentos com duas outras abordagens de seleção de atributos. Os resultados obtidos mostram que o EFC consegue manter resultados mais estáveis, independente do domínio, ao contrário dos demais algoritmos testados e principalmente, que o EFC pode ser empregado como uma técnica para seleção dos atributos mais relevantes.