A Study for Effectiveness of User-Agent for Malware Communication Traffic Detection

IPSJ

Bibliographic Information

Other Title
  • マルウェア通信検知手法におけるUser-Agentの有効性の一考察

Description

サイバー攻撃に用いられるマルウェアは，バックドアやボットなど感染後に外部サーバーと通信を行うことが一般であり，特に HTTP 等の一般的なプロトコルにて行う場合が多い．近年，HTTP の User-Agent ヘッダを用いてマルウェア通信を識別する (UA 監査) 機能が実装されているセキュリティ製品もあるが，User-Agent をブラウザに偽装することでその検知を逃れようとするマルウェアも確認されている．本考察では，UA 監査機能を持つ製品の有用性向上のため，マルウェア通信で利用された User-Agent の正常との逸脱度を算出し，User-Agent の有効性の評価および今後に向けた考察を行う．評価には FFRI データセットおよび独自環境にて取得したマルウェアを用いた．

A lot of malware communicate with their C&C servers via HTTP protocol． So some security appliances implement User-Agent inspection. However some malware pretend to be the browser agent and therefore its effectiveness is not clear today．In this study, I focused on User-Agent feature and evaluate the effectiveness for malware communication traffic detection using FFRI Datasets and our original captured malware．

Journal

Keywords

Details 詳細情報について

Report a problem

Back to top