DETECTING MALICIOUS WEBSITES USING CLIENT HONEYPOTS.pdf

1、近年來,使用惡意網(wǎng)站向端用戶發(fā)動攻擊已經(jīng)越來越構(gòu)成威脅。惡意網(wǎng)站操作者的主要動機就是金錢的利益。因此,攻擊者將要提升他們站點的可用性和生存期。FF網(wǎng)絡(luò)是惡意網(wǎng)站最近使用的技術(shù)之一。FF網(wǎng)絡(luò)使用妥協(xié)計算機構(gòu)成的代理網(wǎng)絡(luò)來重定向和宿主快速服務(wù)以獲得高可用性和隱藏惡意服務(wù)器的源地址。雖然FF是一個新的話題,許多工作提出了檢測方法以發(fā)現(xiàn)FF服務(wù)的存在。目前大多數(shù)FF檢測方法常常通過建立一個可復(fù)制的DNS表來監(jiān)控DNS的改變。然而,這種方法是耗時

2、的,因為我們必須等待一個特定的時間才能夠發(fā)送下一個DNS請求。本文關(guān)注于檢測惡意站點,尤其關(guān)于檢測使用FF網(wǎng)絡(luò)的惡意站點。本文還評價了客戶端蜜罐的有效性來檢測和理解惡意站點。本文通過對客戶端蜜罐的擴展研究和分析來滿足這些研究目的。首先,我們通過分析和比較各種類型和方法來解決客戶端蜜罐問題。然后,我們提出了監(jiān)督檢測算法,通過分析DNS查詢響應(yīng)來識別FF域?；谔岢龅臋z測算法和客戶端蜜罐概念,我們提出了一個新的模型來實時動態(tài)地檢測惡意FF站

3、點。然后,我們使用了基于低交互客戶端蜜罐方案模型的FF檢測來提高低交互蜜罐的準(zhǔn)確率和速度。這些研究取得了許多重要的成就。一是,我們通過實時分析一個DNS查詢相應(yīng)就能夠檢測FF域,這有助于保護(hù)用戶瀏覽網(wǎng)頁。二是,我們能夠在互聯(lián)網(wǎng)空間下搜索FF域并以較短的時間識別他們以支持其他的安全工具例如IDS,防火墻等。三是,我提出了新的LCH方案的檢測方法,能夠克服以往LCH的缺點。這個新的模型能夠更快地檢測新的攻擊。四是,我們提出了惡意站點使用的實