Detecção de remote access trojan com ferramentas de big data

Abstract

Remote Access Trojan (RAT) é um tipo de malware que permite ao atacante acesso com privilégios administrativos à máquina infectada, sendo capaz de executar diversas ações, tais como roubo de informações pessoais e monitoramento das atividades da vítima. Devido ao crescente surgimento de códigos maliciosos, há a necessidade de se criar ferramentas e métodos de prevenção que impeçam novos ataques. Este trabalho apresenta uma proposta de sistema de detecção de RAT, baseado em anomalia de comportamento, cujo funcionamento não precisa da assinatura do malware para ser eficaz. A modelagem do comportamento das conexões é feita com os algoritmos de machine learning K-means, o qual fornece a identificação de grupos de conexões similares, a partir de características das conexões que apresentam valores próximos, e o Random Forest que é utilizado para classificar os fluxos de conexões em normal ou em RAT, segundo os valores extraídos das características das conexões e grupos identificados na captura do tráfego. E para que seja aplicável a qualquer cenário de redes de computadores, foram utilizadas ferramentas de big data, por serem capazes de suportar grandes fluxos de dados. O framework utilizado nesta aplicação é o Apache Spark por que realiza processamento em memória e pode ser aplicado como sistema distribuído, tornando a implementação escalável e com elevado desempenho de execução. Os requisitos de desenvolvimento deste projeto foram: tempo máximo de execução de cinco minutos, baixo custo computacional e acurácia do modelo similar ou superior aos trabalhos relacionados. Assim, após a implementação do projeto, foi possível detectar conexões de novos RAT, apenas com as características de conexões dessa classe de malware, obtendo acurácia de 95%, taxa de falso negativo de 9.9% e taxa de falso positivo de 4.7%. O tempo de execução da detecção se aproximou de um minuto no modo standalone, ao utilizar 512 MB de memória RAM DDR3 1333 Mhz e oito núcleos de processadores Intel(R) Xeon(R) CPU E5-2650 v2 2.6 Ghz, aplicado em uma captura de 72 GB com diversos tipos de aplicações.