Detekce škodlivého softwaru v komunikaci TLS

Abstract

Táto diplomová práca demonštruje, že šifrovanú škodlivú komunikáciu je možné stále detekovať v sieťovej prevádzke aj napriek tomu, že rozdiely medzi šifrovanou komunikáciou neustále sa vyvíjajúceho škodlivého and bežného softvéru sa pomaly zmenšujú. Detekcia sa spolieha výlučne na údaje extrahované z nešifrovaných častí protokolu TLS. Údaje sa potom analyzujú pomocou náhodných lesov a izolačných lesov. Práca ukazuje, že oba modely fungujú dobre len s malým počtom nepresných klasifikácií. Tieto dva modely tiež vykazujú podobné výsledky pri nasadení v reálnom svete.This master's thesis demonstrates that encrypted malware communication can still be detected in the network traffic despite the differences between the encrypted communication of the ever-evolving malware and benign processes slowly diminishing. The detection relies purely on data extracted from the unencrypted portions of the TLS protocol. The data is then analyzed using random forests and isolation forests. The work demonstrates that both models perform well with only a small number of inaccurate classifications. The two models also show similar results in a real-world deployment.