Detekce anomalit na základě doménových reputací podle klasifikace stažených souborů

Abstract

Cílem této práce bylo vytvořit systém využívající doménovou reputaci a na jejím základě detekovat anomality ve stahovaní souborů na základě znalosti jejich zdrojové URL. Doménová reputace je založená na databázi, která uchovává historii stažených souborů spolu s\thinspace jejich klasifikací a URL, ze kterých byly staženy. Implementovaný systém v síťovém provozu detekuje situace, při kterých dochází ke stažení souborů, které jsou detekovány antivirem, z domén s dobrou reputací. Dále hledá domény, ze kterých se stahuje velké množství škodlivého softwaru. Vytvořený systém během tří měsíců provozu nalezl 87 škodlivých domén a 234 podezřelých PE souborů označil jako čisté. Výsledný systém je v\thinspace současné době součástí antivirového programu Avast, čímž pomáhá chránit miliony uživatelů po celém světě.

The goal of this thesis is to create a system using domain reputation based on which we shall detect anomalies in file downloads knowing their source URLs. The domain reputation is based on a database containing history of downloaded files together with their classification and source URL. The implemented system detects downloading of files detected by AV angines from domain with a good reputation and also finds domains serving a large portion of malware. During the first three months the resulting system found 87 malicious domains and classified 234 suspicious PE files as clean. Nowadays the system is a part of Avast antivirus helping to protect milions of users around the world.