Predicting Impending Exposure to Malicious Content from User Behavior

• • 摘要
  • 知識點
  • 研究點的提出
  • 論文內容
  • • 相關工作
  • 數據集
  • • • HTTP 流量
      • HTTP 日志處理
      • 在線調查
  • 實驗內容
  • • 惡意暴露
    • self-report
    • Session為單位下的暴露預測
  • 創新點
  • • 困難點

CCS 2018
關鍵詞： malicious content on the web、HTTP流量

摘要

許多計算機安全防御都是被動的 - 它們僅在發生安全事件時或之后立即運行。最近的努力已經嘗試在安全事件發生之前對其進行預測，以使防御者能夠主動保護他們的設備和網絡。這些努力主要集中在長期預測上。我們提出了一種系統，可以在單個瀏覽會話級別實現主動防御。通過觀察用戶行為，它可以預測他們是否會在暴露之前幾秒鐘暴露于網絡上的惡意內容，從而為主動防御打開機會之窗。我們使用2017年大型蜂窩網絡提供商的20,645名用戶生成的三個月的HTTP流量來評估我們的系統，并表明它可以提供幫助，即使只有非常低的誤報率可以接受，并且盡管制作困難“即時”預測。我們還通過調查詢問人口統計和安全相關問題，直接與用戶聯系，評估自我報告數據用于預測惡意內容暴露的效用。我們發現自我報告的數據可以幫助預測長時間的暴露風險。然而，即使是長期的，自我報告的數據也不像準確預測暴露的行為測量那么重要。

知識點

http refer：HTTP Referer是header的一部分，當瀏覽器向web服務器發送請求的時候，一般會帶上Referer，告訴服務器我是從哪個頁面鏈接過來的，服務器籍此可以獲得一些信息用于處理。比如從我主頁上鏈接到一個朋友那里，他的服務器就能夠從HTTP Referer中統計出每天有多少用戶點擊我主頁上的鏈接訪問他的網站。

研究點的提出

打開惡意網站帶來的安全隱患

• 傳統：blacklists、nti-wiruses

論文內容

根據用戶行為來預測在接下來的時間是否會導致安全隱患發生

來自20600用戶三個月的數據，我們記錄了移動用戶在線惡意暴露的程度（例如，惡意軟件），表明至少有11％的用戶在某些時候暴露在外在我們的收集間隔

聲明webpage黑名單的局限性

我們的測量表明暴露在惡意網頁及沒有暴露的瀏覽模式千差萬別

logistic regression估計自我報告數據在多大程度上可以提供有意義的風險暴露指標

計了一個長期預測分類器，使用基于過去行為的特征，確定給定用戶在一個月內暴露于惡意的風險

將我們從所有這些實驗中積累的知識結合起來，設計一個短期分類器，該分類器是根據可實時輕松計算的特征構建的，可以在30秒左右的時間內以合理的準確度預測惡意頁面的暴露；使用不同的數據源來說明假陽性會轉為真陽性

相關工作

移動惡意軟件在多大程度上構成實際威脅

移動惡意軟件的流行程度

系統和網絡的保護：先前提出的替代方案僅在暴露時間或之后不久進行干預。 相反，我們建議預測可能導致感染和數據泄露的事件

預測安全事件發生：短時間內預測暴露幾率

用戶行為影響安全

數據集

GSB：google safe browsing v3
VirusTotal：combines blacklist
i-Filter filtering system

KDDI： 日本移動互聯網提供商

• HTTP流量
• 用戶調查 self-report

HTTP 流量

• 2017.4.1 - 2017.6.30 HTTP log：HTTP request時間戳、URL、HTTP refered、upload和download 字節數、UA、用戶ID
• 局限性：沒有HTTP內容(POST中send的內容)或HTTP requests，只包括http requests content-type：text/html；蜂窩網絡，沒有wifi流量
• 企業網絡使用“中間人”方式收集HTTPS流量

HTTP 日志處理

• browsing session：由同一用戶進行的臨時連續的HTTP請求集
  - 相關的用戶代理改變（表示用戶交換的瀏覽器）
  - 用戶空閑 - 即不參與后續的HTTP請求 - 超過20分鐘
  - session關閉

• 在測量期間每天下載GSB快照（GSB：phishing、walware URL）

• GSB：釣魚 & 惡意urls：導致用戶下載惡意軟件或擴展程序，廣告和點擊欺詐頁面

• Virus-Total：黑名單，繼續核對GSB中的分類

• 將HTTP請求分類（i-Filter filtering system ）

在線調查

驗證用戶個人報道是否能預測他們的行為

• 邀請600000人收到23419回復
• 總結分布特點：性別、年齡、操作系統
• 提出幾個個人問題

實驗內容

惡意暴露

基于HTTP logs
問題：

確定移動用戶暴露于惡意內容的程度：11%暴露，2172中1995釣魚網站、153惡意網站。

證明在頁面被列入黑名單之前有不法分子危害設備的“機會之窗”，并記錄該窗口合理的大小：
- 方法：通過追溯檢查遙測數據中惡意軟件簽名的證據，可以追溯到反病毒公司知道這些簽名之前的時間
- 檢查日志中在GSB數據集記錄之前的 url
- 評估網頁被GSB包含的時間
- 結論：有證據表明，在某些頁面被GSB標記為惡意的情況下，可能存在數天或數周的不可忽視的延遲。

3個月，負x表示網頁沒有包括在GSB數據集中，正表示包括

探索暴露和未暴露用戶之間多個維度的行為差異
- 識別惡意：無法準確了解用戶何時被曝光。 我們知道用戶何時請求給定頁面，并且我們知道該頁面何時被GSB標記為惡意頁面；考慮用戶在時間t向URL u發出HTTP請求。如果它在任何時間t’出現在GSB數據庫中，則t被認為是惡意的，因此t≤t’<t +τ。 τ-malicious頁面是目前可能被標記為良性的網頁，但是（在τ內）將被標記為惡意網頁。 τ越小，危險性越高，因為頁面實際上已經惡意的概率隨著τ→0而增加。
- 結論：預測分類器不能完全依賴于先前的曝光，因為我們的用戶語料庫的很大一部分顯示缺乏“重復”曝光。

用戶暴露惡意網頁 request、session數量
根據τ的值，在三分之一到一半的暴露用戶之間只能訪問一個被視為惡意的頁面; 對于τ的正值，超過四分之一的用戶對惡意頁面發出三個或更多請求。 圖2表明，對于τ的正值，一半到三分之二的暴露用戶根據為τ選擇的值在單個會話內執行所有暴露的請求; 其余部分顯示了長尾分布。 如圖所示，這種行為通常對于我們選擇的τ值的變化是穩健的，盡管與圖1一致，τ= 0似乎過于保守。

計算出過去訪問過至少x次惡意頁面的暴露用戶將來訪問惡意頁面的概率

無論為τ選擇的值如何，未暴露的用戶通常每天要求的頁數遠遠少于暴露的用戶。 我們觀察到會話的類似趨勢 - 未曝光用戶參與的會話數量遠遠少于暴露用戶

Exposed users are more active than unexposed users— they make more HTTP requests, and engage in more, longer, browsing sessions.

Exposed users tend to browse the Internet more frequently at night and outside of working hours.

Certain categories of content may be indicative of higher risk exposure.

self-report

Q：我們能否根據調查回復對用戶的風險敞口建立有意義的見解？

建立logits 回歸模型利用report中的問題和是否暴露進行建模

（1）性別; （2）用戶設備上存在防病毒; （3）用戶是否從非官方市場下載應用程序; （4）用戶是否繼續瀏覽瀏覽器的警告; （5）用戶是否報告遭受妥協; （6）RSeBIS主動意識得分（通過總結用戶對李克特量表問題的反應并歸一化到[0,1]范圍）。

Session為單位下的暴露預測

特征：

• session 長度/s
• HTTP request請求數
• 字節傳輸數量
• HTTP requests to 非Alexa 100000的數量
• 是否在周末
• 24小時（24個特征）
• 操作系統（6個）：安卓 or IOS、Chrome or Safari、其他OS、 其他瀏覽器
• DNN

發現GSB在數據收集期間未標記的許多URL最終（即數周或數月之后）被GSB或VirusTotal [15]使用的其他列表標記為可能是惡意的

創新點

• 根據用戶行為對用戶是否會被暴露在惡意網頁而進行預測
• 深入理解暴露/非暴露用戶之間的行為差異

困難點

實驗復現困難

雖然自我報告的數據有助于預測長期暴露風險，但僅依靠自我報告的數據只能得出中等準確的預測

蜂窩數據 & 隱私保護要求減少用戶的訓練數量

總結

以上是生活随笔為你收集整理的Predicting Impending Exposure to Malicious Content from User Behavior的全部內容，希望文章能夠幫你解決所遇到的問題。

如果覺得生活随笔網站內容還不錯，歡迎將生活随笔推薦給好友。