تشخیص بات نت به وسیله تحلیل فعالیت های گروهی و پاسخ های ناموفق ترافیک شبکه

یکی از تهدیدات روزافزون در اینترنت و شبکه‌های کامپیوتری بات نت­ها هستند. بات نت، شبکه‌ای از کامپیوترهای آلوده متصل به اینترنت است که تحت کنترل سرور فرماندهی و کنترل قرار می‌گیرد و برای حملات اینترنتی همچون حملات ممانعت از سرویس و فرستادن هرزنامه، مورد استفاده قرار می‌گیرد. بات نت با شناسایی دستگاه‌های آسیب‌پذیر موجود در شبکه و به مصالحه درآوردن آن‌ها، حیطه‌ تحت کنترل خود را گسترش می‌دهد. بات­ نت‌ها به‌سرعت در حال پیشرفت هستند و از فنّاوری‌های جدید همچون dns و تغییرات پی‌درپی سریع، برای به دام انداختن کاربران و افزایش حفاظت از کامپیوترهای آلوده خود بهره می‌برند. یکی از انواع تغییرات پی‌درپی سریع، استفاده از الگوریتم تولید نام دامنه است. مهاجمین با استفاده از این روش از قرار گرفتن نام دامنه سرویس­دهنده­های فرماندهی و کنترل خود در فهرست­های سیاه جلوگیری می­نمایند. بسیاری از روش‌های تشخیص بات­نت، مبتنی بر تحلیل فعالیت گروهی بات­نت­ها هستند، اما استفاده از این روش به‌تنهایی، در شبکه‌های کوچک و متوسط کارایی مناسبی ندارد. هدف ما در این مقاله ارائه روشی جامع و کامل برای تشخیص بات­نت­هایی است که از تغییرات پی­درپی نام دامنه در ترافیک استفاده می­کنند و به‌صورت الگوریتمی تولید می‌شوند. روش ما قابلیت تشخیص بات‌نت­های شناخته‌شده و همچنین ناشناخته­ای که از این روش استفاده می‌کنند را دارا هست. در این روش، تشخیص بات­نت­ها بر اساس پاسخ‌های ناموفق یا nxdomain در هر میزبان صورت می­گیرد. این ویژگی باعث می­شود که دقت تشخیص در   شبکه­های کوچک و متوسط افزایش یابد. این روش در شبکه‌های آلوده به بات­نت­های کانفیکر و کراکن آزمایش و اطلاعات به‌دست‌آمده از آن مورد تجزیه‌ و تحلیل قرارگرفته است.