Botnets are now a major source for many network attacks, such as DDoS attacks and spam. However, most traditional detection methods heavily rely on heuristically designed multi-stage detection criteria. In this paper, we consider the neural network design challenges of using modern deep learning techniques to learn policies for botnet detection automatically. To generate training data, we synthesize botnet connections with different underlying communication patterns overlaid on large-scale real networks as datasets. To capture the important hierarchical structure of centralized botnets and the fast-mixing structure for decentralized botnets, we tailor graph neural networks (GNN) to detect the properties of these structures. Experimental results show that GNNs are better able to capture botnet structure than previous non-learning methods when trained with appropriate data, and that deeper GNNs are crucial for learning difficult botnet topologies. We believe our data and studies can be useful for both the network security and graph learning communities.
Mobile Botnet Detection: A Deep Learning Approach Using Convolutional Neural Networks
Cyber Technology Institute（网络技术研究院）；Al-Qunfudah College of Computing（古尼富达计算学院）；Faculty of Computing, Engineering and Media（计算、工程与媒体学院）；Umm Al-Qura University（乌姆阿尔库拉大学）；De Montfort University（德蒙福特大学）
Improving Botnet Detection with Recurrent Neural Network and Transfer Learning
Lawrence Berkeley National Laboratory（劳伦斯伯克利国家实验室）；Texas A&M University-Commerce（德克萨斯A&M大学-康默斯分校）；KISTI（韩国科学技术信息研究院）
僵尸网络检测是阻止僵尸网络传播和防止恶意活动的关键步骤。然而，可靠的检测仍然是一个具有挑战性的任务，由于各种各样的僵尸网络涉及不断增加的设备和攻击载体的类型。最近采用机器学习（ML）的方法显示出比早期方法改进的性能，但是这些基于ML的方法仍然具有显著的局限性。例如，大多数机器学习方法不能结合序列模式分析技术来检测某些类别的僵尸网络。基于ML的方法的另一个常见缺点是需要重新训练神经网络，以便检测不断发展的僵尸网络;然而，训练过程是耗时的，并且需要大量的工作来标记训练数据。对于快速发展的僵尸网络，在僵尸网络再次发生变化之前，创建足够的训练样本可能需要太长的时间。为了解决这些挑战，我们提出了一种新的僵尸网络检测方法，建立在循环变分自编码器（RVAE），有效地捕捉僵尸网络活动的顺序特征。在实验中，这种半监督学习方法取得了更好的检测精度比同类的学习方法，特别是对难以检测类。此外，我们设计了一个迁移学习框架，从精心策划的源数据集中学习，并将知识转移到以前从未见过的目标问题域。测试表明，使用迁移学习的真阳性率（TPR）高于使用目标数据集训练的RVAE半监督学习方法（91.8% vs. 68.3%）。
Non-Intrusive Graph-Based Bot Detection for E-Commerce Using Inductive Graph Neural Networks
College of Engineering Northeastern University Boston, USA（工程学院 哈佛大学 波士顿 美国）；Khoury College of Computer Sciences Northeastern University Boston, USA（计算机科学学院 哈佛大学 波士顿 美国）；College of Professional Studies Northeastern University Boston, USA（专业研究学院 哈佛大学 波士顿 美国）
Darknet Traffic Big-Data Analysis and Network Management to Real-Time Automating the Malicious Intent Detection Process by a Weight Agnostic Neural Networks Framework
International Hellenic University（国际希腊大学）；Democritus University of Thrace（德谟克利特大学）；Hellenic National Defence General Staff（希腊国防参谋本部）；University of Aegean（爱琴大学）
Comprehensive Botnet Detection by Mitigating Adversarial Attacks, Navigating the Subtleties of Perturbation Distances and Fortifying Predictions with Conformal Layers
ShellCore: Automating Malicious IoT Software Detection by Using Shell Commands Representation
Linux shell是一个命令行解释器，它为用户提供了一个到操作系统的命令接口，允许用户执行各种功能。虽然在边缘构建功能方面非常有用，但Linux shell可以被利用，给对手提供了一个利用它们进行恶意活动的绝佳机会。通过访问物联网设备，恶意软件作者可以滥用这些设备的Linux shell来传播感染并发起大规模攻击，例如，DDoS攻击在这项工作中，我们首先介绍了基于Linux的物联网恶意软件中使用的shell命令。我们分析了物联网恶意软件中发现的恶意shell命令，并构建了一个基于神经网络的模型ShellCore来检测恶意shell命令。也就是说，我们收集了一个大型的shell命令数据集，包括从2，891个物联网恶意软件样本中提取的恶意命令，以及从真实网络流量分析中收集的良性命令，以及来自Linux用户的自愿数据。使用传统的基于机器和深度学习的方法，使用术语和字符级特征进行训练，ShellCore在检测恶意shell命令和文件（即，二进制文件）。
Constrained Twin Variational Auto-Encoder for Intrusion Detection in IoT Systems
University of Technology Sydney（悉尼科技大学）；Le Quy Don Technical University（黎贵惇技术大学）；University of Engineering and Technology, Vietnam National University, Hanoi（河内越南国家大学工程技术大学）
