مقایسه الگوریتم های یادگیری ماشین نظارتی در تشخیص الگوریتم های تولید دامنه شبکه های بات

الگوریتم های تولید دامنه در شبکه های بات به‌عنوان نقاط ملاقات مدیر بات با خدمت دهنده فرمان و کنترل آن‌ها مورداستفاده قرار می گیرند و می توانند به‌طور مداوم تعداد زیادی از دامنه ها را برای گریز از تشخیص توسط روش های سنتی از جمله لیست سیاه،تولید کنند. شرکت های تامین‌کننده امنیت اینترنتی، معمولاً لیست سیاه را برای شناسایی شبکه های بات و بدافزارها استفاده می کنند، اما الگوریتم تولید دامنه می‌تواند به‌طور مداوم دامنه را به‌روز کند تا از شناسایی لیست سیاه جلوگیری کند. شناسایی شبکه های بات مبتنی بر الگوریتم تولید دامنه یک مسئله چالش‌برانگیز در امنیت سامانه های کامپیوتری است. در این مقاله، ابتدا با استفاده از مهندسی ویژگی ها، سه نوع ویژگی (ساختاری، آماری و زبانی) برای تشخیص الگوریتم های تولید دامنه استخراج‌شده و سپس مجموعه داده جدیدی از ترکیب یک مجموعه داده با دامنه های سالم و دو مجموعه داده با الگوریتم های تولید دامنه بدخواه و ناسالم تولید می شود. با استفاده از الگوریتم های یادگیری ماشین، رده بندی دامنه ها انجام‌شده و نتایج به‌صورت مقایسه ای جهت تعیین نمونه‌ با نرخ صحت بالاتر و نرخ مثبت نادرست کمتر جهت تشخیص الگوریتم‌های تولید دامنه مورد بررسی قرار می گیرد. نتایج به‌دست آمده در این مقاله، نشان می دهد الگوریتم جنگل تصادفی، نرخ صحت، نرخ تشخیص و مشخصه عملکرد پذیرنده بالاتری را به ترتیب برابر با 89.32%، 91.67% و 0.889 ارائه می دهد. همچنین در مقایسه با نتایج سایر الگوریتم های بررسی شده، الگوریتم جنگل تصادفی نرخ مثبت نادرست پایین تری برابر با 0.373 نشان می دهد.

Comparison of Supervised Machine Learning Algorithms in Detection of Botnets Domain Generation Algorithms

Domain generation algorithms (DGAs) are used in Botnets as rendezvous points to their command and control (C&C) servers, and can continuously provide a large number of domains which can evade detection by traditional methods such as Blacklist. Internet security vendors often use blacklists to detect Botnets and malwares, but the DGA can    continuously update the domain to evade blacklist detection. In this paper, first, using features engineering; the three types of structural, statistical and linguistic features are extracted for the detection of DGAs, and then a new dataset is produced by using a dataset with normal DGAs and two datasets with malicious DGAs. Using supervised machine learning algorithms, the classification of DGAs has been performed and the results have been compared to determine a DGA detection model with a higher accuracy and a lower error rate. The results obtained in this paper show that the random forest algorithm offers accuracy rate, detection rate and receiver operating characteristic (ROC) equal to 89.32%, 91.67% and 0.889, respectively. Also, compared to the results of the other investigated algorithms, the random forest algorithm presents a lower false positive rate (FPR) equal to 0.373.