DETECTING MALICIOUS WEBSITES USING CLIENT HONEYPOTS.pdf

1、近年來,使用惡意網(wǎng)站向端用戶發(fā)動攻擊已經(jīng)越來越構(gòu)成威脅。惡意網(wǎng)站操作者的主要動機就是金錢的利益。因此,攻擊者將要提升他們站點的可用性和生存期。FF網(wǎng)絡是惡意網(wǎng)站最近使用的技術(shù)之一。FF網(wǎng)絡使用妥協(xié)計算機構(gòu)成的代理網(wǎng)絡來重定向和宿主快速服務以獲得高可用性和隱藏惡意服務器的源地址。雖然FF是一個新的話題,許多工作提出了檢測方法以發(fā)現(xiàn)FF服務的存在。目前大多數(shù)FF檢測方法常常通過建立一個可復制的DNS表來監(jiān)控DNS的改變。然而,這種方法是耗時

2、的,因為我們必須等待一個特定的時間才能夠發(fā)送下一個DNS請求。本文關(guān)注于檢測惡意站點,尤其關(guān)于檢測使用FF網(wǎng)絡的惡意站點。本文還評價了客戶端蜜罐的有效性來檢測和理解惡意站點。本文通過對客戶端蜜罐的擴展研究和分析來滿足這些研究目的。首先,我們通過分析和比較各種類型和方法來解決客戶端蜜罐問題。然后,我們提出了監(jiān)督檢測算法,通過分析DNS查詢響應來識別FF域。基于提出的檢測算法和客戶端蜜罐概念,我們提出了一個新的模型來實時動態(tài)地檢測惡意FF站

3、點。然后,我們使用了基于低交互客戶端蜜罐方案模型的FF檢測來提高低交互蜜罐的準確率和速度。這些研究取得了許多重要的成就。一是,我們通過實時分析一個DNS查詢相應就能夠檢測FF域,這有助于保護用戶瀏覽網(wǎng)頁。二是,我們能夠在互聯(lián)網(wǎng)空間下搜索FF域并以較短的時間識別他們以支持其他的安全工具例如IDS,防火墻等。三是,我提出了新的LCH方案的檢測方法,能夠克服以往LCH的缺點。這個新的模型能夠更快地檢測新的攻擊。四是,我們提出了惡意站點使用的實