Detekce on-line reklamních podvodů monitorováním síťových dat

Abstract

Stále se zvyšující zájem o Internet ovlivňuje i nárůst reklam. Skoro všechny webové stránky obsahují nějakou formu reklamy, která umožňuje uživatelům přístup k bezplatnému obsahu a vlastníci stránky si tím vydělají na její provoz. Obecně je reklamní byznys místo, kde se soustředí velké množství financí. Rostoucí zisky z internetové reklamy přitahují čím dál více útočníků, kteří aktivně hledají nové zranitelnosti systémů, aby mohli jejich uživatele infikovat malwarem. Zisky útočníků jsou zejména spojeny s počtem falešných kliknutí na reklamy, což je motivuje vyvíjet nebezpečný software. Ten generuje velké množství požadavků simulující tato kliknutí. Požadavky zatěžují internetové spojení, zpomalují zařízení oběti, negativně ovlivnňují její zážitky strávené na internetu a mohou narušit její soukromí. V této práci jsme navrhli detektor anomálií, jehož důležitou částí je rozpoznání reklamy v síťovém provozu. Ukázali jsme, že běžně používané listy pro blokovani reklamy, jako Yoyo ad-block list nebo EasyList ad-block list, jsou velice limitované a těžko se rozšiřují o nové reklamní sítě. Proto jsme navrhli algorithmus pro detekci reklamního provozu, který je schopný odhalit desetkrát více reklam než dříve zmíněné blacklistovací listy. Navíc nevyžaduje žádný lidský zásah ani ruční doplňování nové znalosti, protože může být opakovaně spouštěn a objevit tak nové reklamní sítě. Nakonec jsme navržený detektor anomálií otestovali na HTTP a HTTPS z reálného síťového provozu shromážděného z firemních sítí.

The explosive growth in the size and use of the Internet is followed by the growth of ads. Almost all popular web pages contain advertisement, which plays a vital role in supporting free websites by generating revenue for placing the advertisement. Therefore, the online advertisement can be a lucrative business for a website with high visibility. The increasing revenue of the online advertisement attracts more and more attackers who are interested to explore new vulnerabilities to find new ways to infect the broad audience with adware. The attacker's revenue is mainly related to the amount of fake impression, which motivates them to create malware that generates a large number of advertisement requests. This wastes the bandwidth, it can slow down user's device, and negatively impacts the user experience while browsing the Internet and disturbs the user's privacy. We propose anomaly detector for advertisement fraud detection on the network level from the network behaviour. The important part of the proposed anomaly detector is advertisement traffic detection, where we show that current blacklisting methods are limited as they can not effectively cover the increasing number of ad-servers and ad-networks. We propose an algorithm to detect ad-related HTTP/HTTPS requests captured by web proxies. This algorithm can detect ten times more ads than the conventional pattern matching approaches like Yoyo and EasyList ad-block lists, and will not need any human interventions nor manual updates. It can be periodically run to detect new ad-servers and ad-networks. Finally, we evaluated the proposed anomaly detector on HTTP and HTTPS traffic from real network data collected in a number of corporate networks.