DETECTING MALICIOUS WEBSITES USING CLIENT HONEYPOTS

摘要

近年来,使用恶意网站向端用户发动攻击已经越来越构成威胁。恶意网站操作者的主要动机就是金钱的利益。因此,攻击者将要提升他们站点的可用性和生存期。FF网络是恶意网站最近使用的技术之一。FF网络使用妥协计算机构成的代理网络来重定向和宿主快速服务以获得高可用性和隐藏恶意服务器的源地址。虽然FF是一个新的话题,许多工作提出了检测方法以发现FF服务的存在。目前大多数FF检测方法常常通过建立一个可复制的DNS表来监控DNS的改变。然而,这种方法是耗时的,因为我们必须等待一个特定的时间才能够发送下一个DNS请求。本文关注于检测恶意站点,尤其关于检测使用FF网络的恶意站点。本文还评价了客户端蜜罐的有效性来检测和理解恶意站点。本文通过对客户端蜜罐的扩展研究和分析来满足这些研究目的。首先,我们通过分析和比较各种类型和方法来解决客户端蜜罐问题。然后,我们提出了监督检测算法,通过分析DNS查询响应来识别FF域。基于提出的检测算法和客户端蜜罐概念,我们提出了一个新的模型来实时动态地检测恶意FF站点。然后,我们使用了基于低交互客户端蜜罐方案模型的FF检测来提高低交互蜜罐的准确率和速度。这些研究取得了许多重要的成就。一是,我们通过实时分析一个DNS查询相应就能够检测FF域,这有助于保护用户浏览网页。二是,我们能够在互联网空间下搜索FF域并以较短的时间识别他们以支持其他的安全工具例如IDS,防火墙等。三是,我提出了新的LCH方案的检测方法,能够克服以往LCH的缺点。这个新的模型能够更快地检测新的攻击。四是,我们提出了恶意站点使用的实际技术来对抗并且采指纹。我们提出了实际的技术来保护客户端蜜罐和克服入侵技术。不同方案的评估结果显示出,我们的方案能够实时且有效地检测FF域。此外,他们能够用于提高低交互客户端蜜罐(LCH)的性能来检测恶意站点。

目录

封面

中文摘要

英文摘要

目录

1 CHAPTER 1 INTRODUCTION AND BACKGROUND

1.1 Problem Statement

1.2 Motivation

1.3 Contributions

1.4 Structure of Thesis

1.5 Security Attacks

1.6 Malicious Websites Attacks Methodology

1.7 Fast-FluxNetworks\(FF\)

1.8 Honeypots

1.9 Client honeypots Detection Methodology

1.10 Honeypots Deception Techniques

1.11 Related Work

1.12 Summary

2 CHAPTER2 DETECTING MALICIOUS FF DOMAINS

2.1 Availability Improvement

2.2 FF Types

2.3 FF Network Purposes

2.5 Decision Algorithm

2.6 Detection Methodology

2.7 Evaluation

2.8 Summary

3 Chapter 3 AN ACTIVE SCHEME TO DETECT FF DOMAINS

3.1 The Proposed Solution

3.2 Client honeypot Model

3.3 Detection Scheme

3.4 Evaluation

3.5 FF Analysis

3.6 FF Mitigation

3.7 Summary

CHAPTER 4 COMPARING AND ENHANCING CLIENT HONEYPOTS

4.1 Effectiveness of Client Honeypot

4.2 Comparison of HCH and LCH

4.3 Improving Low Interaction Client Honeypot \(LCH\)

4.4 Evading Client honeypots

4.5 Discussion and Analysis

4.6 Summary

CONCLUSIONS

参考文献

PUBLISHED PAPERS

声明

致谢