Machine Learning-Based Early Detection of IoT Botnets Using Network-Edge Traffic
Singapore University of Technology and Design（新加坡科技设计大学）；National University of Singapore（新加坡国立大学）；University of Sydney（悉尼大学）
在这项工作中，我们提出了一个轻量级的物联网僵尸网络检测解决方案，EDIMA，该解决方案旨在部署在安装在家庭网络中的边缘网关上，并在发起攻击之前对僵尸网络进行早期检测。EDIMA包括一个新的基于两阶段机器学习（ML）的检测器，专门为边缘网关的物联网机器人检测而开发。基于ML的机器人检测器首先采用ML算法进行聚合流量分类，然后采用基于自相关函数（ACF）的测试来检测单个机器人。EDIMA架构还包括恶意软件流量数据库、策略引擎、特征提取器和流量解析器。性能评估结果表明，EDIMA实现了较高的bot扫描和bot-CnC流量检测准确率，同时具有极低的误报率。检测性能也显示出对连接到部署EDIMA的边缘网关的IoT设备数量的增加具有鲁棒性。此外，在Raspberry Pi上部署的EDIMA的Python实现的运行时性能分析显示，机器人检测延迟低，RAM消耗低。EDIMA还被证明优于现有的检测技术的机器人扫描流量和僵尸CnC服务器通信。
2020-10-22 cs.CR cs.LG cs.NI
IoT Botnet Detection Using an Economic Deep Learning Model
University of Louisiana at Lafayette（路易斯安那大学拉斐特分校）
本文提出一种经济型深度学习模型，用于检测物联网僵尸网络及多种攻击，在更低的实现预算和更快的训练检测速度下取得了优于现有模型的准确率。
2023-05-28 cs.CR cs.LG
An Automated and Comprehensive Framework for IoT Botnet Detection and Analysis (IoT-BDA)
不安全的互联网连接设备的激增导致了物联网僵尸网络的出现，这些僵尸网络可以快速增长，并可能执行高影响力的网络攻击。解决物联网僵尸网络的相关研究涉及分别使用蜜罐和沙箱捕获或分析物联网僵尸网络样本。两者之间缺乏集成意味着蜜罐捕获的样本必须手动提交到沙箱中进行分析，这会导致延迟，在此期间僵尸网络可能会改变其操作。此外，所提出的沙箱的有效性受到反分析技术的潜在使用以及无法识别有效检测和识别物联网僵尸网络的特征的限制。在本文中，我们提出并评估了一个新的框架，即IoT-BDA框架，用于自动捕获，分析，识别和报告物联网僵尸网络。该框架由蜜罐与一个新的沙箱集成组成，该沙箱支持更广泛的硬件和软件配置，可以识别妥协和攻击的指标，以及反分析，持久性和反取证技术。这些功能可以使僵尸网络检测和分析，以及感染补救更有效。该框架将调查结果报告给黑名单和滥用服务，以促进僵尸网络暂停。本文还介绍了已发现的反蜜罐技术和降低蜜罐检测风险的措施。在七个月的时间里，该框架捕获、分析和报告了4077个独特的物联网僵尸网络样本。分析结果表明，一些物联网僵尸网络使用了传统僵尸网络中常见的反分析、持久化和反取证技术。
2021-09-10 cs.CR
Towards Developing Network forensic mechanism for Botnet Activities in the IoT based on Machine Learning Techniques
物联网是一个互联的日常物品网络，这些物品被称为已经增强了一小部分计算能力的东西。最近，物联网受到各种不同僵尸网络活动的影响。由于僵尸网络多年来一直是造成严重安全风险和经济损失的原因，现有的网络取证技术无法识别和跟踪僵尸网络当前复杂的方法。这是因为商业工具主要依赖于基于签名的方法，无法发现新形式的僵尸网络。在文献中，有几项研究使用机器学习ML技术来训练和验证用于定义此类攻击的模型，但它们仍然会产生很高的误报率，并面临调查僵尸网络轨迹的挑战。本文研究了ML技术在开发基于网络流标识符的网络取证机制中的作用，该机制可以跟踪僵尸网络的可疑活动。使用UNSW-NB 15数据集的实验结果表明，具有流标识符的ML技术可以有效地检测僵尸网络攻击及其跟踪。
2017-11-08 cs.CR
A Lightweight Federated Learning Approach for Privacy-Preserving Botnet Detection in IoT
University of North Dakota（北达科他大学）
针对物联网环境下传统僵尸网络检测方法的扩展性、隐私性与适应性问题，提出基于联邦学习的轻量级隐私保护检测框架，采用通信高效聚合策略，在保证检测准确率的同时大幅降低通信成本。
2025-10-03 cs.CR cs.DC cs.LG
Towards a Universal Features Set for IoT Botnet Attacks Detection
Al-Khawarizmi Institute of Computer Science (KICS)（阿尔-花剌子模计算机科学研究所（KICS））
物联网设备的安全隐患使攻击者很容易利用物联网设备，使它们成为僵尸网络的一部分。一旦数十万物联网设备被入侵并成为僵尸网络的一部分，攻击者就会使用该僵尸网络发起大型复杂的分布式拒绝服务（DDoS）攻击，从而使目标网站或服务无法响应合法用户。到目前为止，已经提出了许多僵尸网络检测技术，但它们的性能仅限于它们所训练的特定数据集。这是因为用于在一个僵尸网络数据集上训练机器学习模型的特征由于攻击模式的多样性而在其他数据集上表现不佳。因此，在本文中，我们提出了一个通用的特征集，以更好地检测僵尸网络攻击，无论底层数据集。当在三个不同的僵尸网络攻击数据集上测试训练好的机器学习模型时，所提出的特征集表现出检测僵尸网络攻击的卓越结果。
2020-12-01 cs.AI cs.CR
A Threat Modelling Approach to Analyze and Mitigate Botnet Attacks in Smart Home Use Case
尽管物联网设备的开发和利用激增，但物联网设备的安全性仍处于起步阶段。物联网设备的安全隐患使黑客很容易接管物联网设备并将其用于僵尸网络攻击等恶意活动。随着物联网设备的猖獗出现，僵尸网络攻击正在激增。僵尸网络攻击不仅对物联网设备用户，而且对世界其他地区都是灾难性的。因此，迫切需要在设计阶段识别和缓解物联网设备中可能的威胁。威胁建模是一种用于在系统设计活动的早期阶段识别威胁的技术。在本文中，我们提出了一种威胁建模方法来分析和减轻物联网灵巧家庭用例中的僵尸网络攻击。所提出的方法使用STRIDE和VAST威胁建模方法识别灵巧家庭用例中的开发级和应用级威胁。此外，我们将已识别的威胁与僵尸网络攻击联系起来。最后，我们提出了所有已识别的威胁，包括僵尸网络威胁的缓解技术。
2021-01-06 cs.CR cs.CY
How the Graph Construction Technique Shapes Performance in IoT Botnet Detection
School of Systems and Computing（系统与计算学院）；University of New South Wales（新南威尔士大学）
本研究通过比较不同图构造技术，发现盖比图在物联网木马检测中表现出最佳性能，准确率达97.56%。
2026-02-28 cs.CR cs.LG cs.NI
Adversarial Explainability: Utilizing Explainable Machine Learning in Bypassing IoT Botnet Detection Systems
提出一种利用模型可解释性在黑盒设置下生成对抗样本的攻击，仅修改一个特征即可使训练后的 IoT 僵尸网络检测系统检测率降至 0%。
2023-09-29 cs.CR
Towards the Development of Realistic Botnet Dataset in the Internet of Things for Network Forensic Analytics: Bot-IoT Dataset
物联网系统的扩散，已经看到它们成为恶意第三方的目标。为解决这一问题，需要制定切实可行的保护和调查对策。这些对策包括网络入侵检测和网络取证系统。为此，一个结构良好且具有代表性的数据集对于训练和验证系统的可信度至关重要。虽然有几个网络，但在大多数情况下，没有太多关于所使用的僵尸网络场景的信息。本文提出了一个新的数据集Bot-IoT，它包含了合法和模拟的物联网网络流量以及各种类型的攻击。我们还提出了一个现实的测试平台环境，以解决现有数据集的缺点，捕获完整的网络信息，准确的标签，以及最近和复杂的攻击多样性。最后，与现有数据集相比，我们使用不同的统计和机器学习方法评估了BoT-IoT数据集的可靠性。这项工作为允许在物联网特定网络中识别僵尸网络提供了基线。Bot-IoT数据集可以在[1]访问。
2018-11-02 cs.CR
AutoBotCatcher: Blockchain-based P2P Botnet Detection for the Internet of Things
一般来说，僵尸网络是一个受感染的互联网计算机的集合，由攻击者出于恶意目的控制。为了增加攻击的成功机会和抵御防御机制的弹性，现代僵尸网络通常具有分散的P2P结构。在这里，物联网设备正在发挥关键作用，成为恶意方执行攻击的主要工具之一。值得注意的例子是对Krebs on Security和DYN的DDoS攻击，这些攻击是由僵尸网络的物联网设备执行的。我们迈出了在物联网中检测P2P僵尸网络的第一步，提出了AutoBotCatcher，其设计是基于同一僵尸网络的机器人经常相互通信并形成社区的考虑。因此，AutoBotCatcher的目的是动态分析根据其网络流量形成的物联网设备社区，以检测僵尸网络。AutoBotCatcher利用许可的拜占庭容错（BFT）区块链作为状态转换机，允许一组预先识别的各方在没有信任的情况下进行协作，以便通过收集和审计物联网设备的网络流量作为区块链交易来执行协作和动态僵尸网络检测。在本文中，我们重点介绍了AutoBotCatcher的设计，首先定义了AutoBotCatcher底层的区块链结构，然后讨论了其组件。
2018-09-27 cs.CR
Model-Based Framework for exploiting sensors of IoT devices using a Botnet: A case study with Android
僵尸网络不仅对互联网，而且对连接到互联网的设备都构成了严重的安全威胁。物联网的指数级增长、席卷全球的COVID-19疫情以及越来越多的网络犯罪分子现在可以访问或开发出越来越复杂的工具，这些因素都刺激了僵尸网络在这一领域的增长。最近爆发的僵尸网络，如Dark Nexus（来自Qbot和Mirai），Mukashi，LeetHozer，Hoaxcalls等，表明这种威胁正在以惊人的速度收敛。僵尸网络的属性使它们成为物联网设备中恶意活动的绝佳平台。这些物联网设备被需要创新和保护其客户、员工和业务合作伙伴的个人和机密数据的组织所使用。物联网设备具有内置的传感器或致动器，可以利用这些传感器或致动器来监视或控制与它们连接的实体的物理环境，从而违反了这些设备的设计隐私的基本概念。在本文中，我们设计和描述了一个模块化的僵尸网络框架的物联网。我们的框架是独立于通信信道的，因为它利用各种可用的通信信道来命令和控制物联网设备。该框架使用了一种增强的集中式架构与一种新的域通量技术。拟议的框架将提供有关如何在设计时将物联网设备中的隐私纳入其中的见解，以检查这些设备中的传感器和执行器是否受到恶意利用，从而保护隐私。本文包括设计考虑，指挥和控制结构，特点，能力，入侵，和其他相关工作。此外，概念证明僵尸网络的实施和解释使用开发的框架。
2022-01-14 cs.CR cs.SE
A Reinforcement Approach for Detecting P2P Botnet Communities in Dynamic Communication Graphs
对等（P2P）僵尸网络使用分散的命令和控制网络，使它们能够抵御中断。P2P僵尸网络覆盖网络在使用网络流量信息形成的相互联系图（也称为通信图）中表现结构。已经表明，这些结构可以使用来自图论的社区发现技术来检测。然而，这些以前的作品，把通信图和P2P僵尸网络结构作为静态的。实际上，通信图是动态的，因为它们表示不断变化的网络流量。同样，P2P僵尸网络也会随着时间的推移而发展，因为新的僵尸程序会加入，现有的僵尸程序会暂时或永久地离开。在本文中，我们解决了动态通信图中检测这种不断发展的P2P僵尸网络社区的问题。本文提出了一种适用于大型通信图的基于聚类的僵尸网络社区发现方法，提高了动态通信图中僵尸网络社区发现的查准率和查全率。
2022-03-24 cs.CR cs.NI
Leveraging Machine Learning for Botnet Attack Detection in Edge-Computing Assisted IoT Networks
Artificial Intelligence Research (AIR) Center（人工智能研究（AIR）中心）；University of North Dakota（北达科他大学）
本研究比较随机森林、XGBoost和LightGBM三种集成学习算法，在边缘计算辅助物联网环境中检测僵尸网络攻击，验证其准确性与在资源受限设备上的可行性。
2025-08-03 cs.AI cs.CR
The End of the Canonical IoT Botnet: A Measurement Study of Mirai's Descendants
通过测量 Hajime 和 Mozi 两个 Mirai 后代，发现它们已显著分化，表明经典物联网僵尸网络已不复存在。
2023-09-03 cs.CR
Mitigating IoT Botnet DDos Attacks through MUD and eBPF based Traffic Filtering
针对IoT设备易被纳入僵尸网络发动DDoS攻击的问题，提出基于扩展MUD规则的集成系统，搭配eBPF与iptables两种执行后端，验证了其防护有效性与低影响性。
2023-05-03 cs.CR cs.NI
Enhanced Hybrid Deep Learning Approach for Botnet Attacks Detection in IoT Environment
Sethu Institute of Technology（塞图理工学院）；Vellore Institute of Technology（韦洛尔理工学院）；College of Engineering and IT, University of Dubai（迪拜大学工程与信息技术学院）
针对物联网环境中僵尸网络攻击检测的挑战，本研究提出堆叠深度卷积神经网络、Bi-LSTM、Bi-GRU和RNN的混合深度学习方法，基于UNSW-NB15数据集实现99.76%的测试准确率和99.18%的ROC-AUC值，性能优于现有模型。
2025-02-10 cs.CR cs.CV
BRIDGE and TCH-Net: Heterogeneous Benchmark and Multi-Branch Baseline for Cross-Domain IoT Botnet Detection
School of Computer Engineering, Kalinga Institute of Industrial Technology (KIIT)（计算机工程学院，卡林加工业技术学院（KIIT））
本文提出BRIDGE异构多数据集基准和TCH-Net多分支网络，解决跨域物联网僵尸网络检测中的异构特征空间和泛化问题，建立首个社区泛化基线。
2026-04-13 cs.CR cs.LG cs.NI
AI-Driven Fast and Early Detection of IoT Botnet Threats: A Comprehensive Network Traffic Analysis Approach
Badji Mokhtar University of Annaba（安纳巴巴吉·穆克塔尔大学）；University of La Rochelle（拉罗谢尔大学）
本研究提出一种全面的物联网网络流量分析方法，利用半监督学习在IoT-23数据集上实现僵尸网络早期检测，特别是隐蔽C2通信，达到100%或94%的检测成功率，误报率1.53%。
2024-07-22 cs.AI cs.CR
Testing And Hardening IoT Devices Against the Mirai Botnet
绝大多数廉价的物联网（IoT）设备都是全新的，并且配置了开箱即用的设置，没有得到制造商的适当保护，并且容易受到潜伏在互联网上的现有恶意软件的攻击。其中包括Mirai僵尸网络，其源代码已泄露给全世界，允许任何恶意行为者配置和释放它。未安全有效地使用的软件资产组合使消费者面临全面妥协。我们使用Mirai库配置并攻击了4个不同的物联网设备。我们的实验得出结论，四个设备中有三个容易受到Mirai恶意软件的攻击，并且在使用默认配置部署时受到感染。这表明，原始的安全配置不足以为消费者提供可接受的保护级别，使他们的设备暴露和脆弱。通过分析Mirai库及其攻击向量，我们能够确定适当的设备配置对策，以加强设备对抗此僵尸网络，并通过实验成功验证。
2020-07-27 cs.CR cs.CY
SHoM: A Mental-Synthesis Trust Management Model for Mitigating Botnet-Driven DDoS Attacks in the Internet of Things
本文提出SHoM信任管理模型，通过综合考量信任相关的安全因素，缓解物联网中由僵尸网络驱动的DDoS攻击，并基于对40至50个现有安全模型的综述研究进行设计。
2025-08-16 cs.CR
A Conditional Tabular GAN-Enhanced Intrusion Detection System for Rare Attacks in IoT Networks
College of computing, Mohammed VI Polytechnic University, Ben Guerir, Morocco（计算学院，穆莱·伊沙克大学，布恩吉尔，摩洛哥）
针对物联网数据类别不平衡导致传统IDS难以检测罕见攻击的问题，提出CTGSM-DNN两阶段系统，利用CTGAN生成合成数据并用SMOTEENN提升数据集质量，在CSE-CIC-IDS2018数据集上实现99.90%总体准确率和80%罕见攻击检测准确率。
2025-02-09 cs.CR cs.LG
Detecting Botnet Activities Based on Abnormal DNS traffic
僵尸网络由于其快速增长的机制和影响而被认为是互联网的一个关键问题。最近，僵尸网络已经像任何合法主机一样利用DNS和查询DNS服务器。在这种情况下，很难区分合法DNS流量和非法DNS流量。因此，构建一个合适的解决方案来检测DNS流量中的僵尸网络，从而保护网络免受恶意僵尸网络活动的影响是非常重要的。本文提出了一种简单的机制来监测DNS流量，并检测僵尸网络发出的异常DNS流量的基础上，僵尸网络出现的一组主机周期性的事实。该机制还能够对主机群（群体行为）和单个主机（个体行为）请求的DNS流量进行分类，从而检测出恶意僵尸网络发出的异常域名。实验结果表明，该机制具有较好的鲁棒性，能够对DNS流量进行分类，并能有效检测僵尸网络活动，平均检测率达到89%。
2009-11-03 cs.CR cs.NI
Enhanced PeerHunter: Detecting Peer-to-peer Botnets through Network-Flow Level Community Behavior Analysis
P2P僵尸网络作为各种网络犯罪的基础设施，已经成为网络安全的主要威胁之一。尽管有一些工作声称可以有效地检测集中式僵尸网络，但在检测P2P僵尸网络的问题上存在更多的挑战。我们提出了增强型PeerHunter，一个基于网络流级社区行为分析的系统，用于检测P2P僵尸网络。我们的系统从一个P2P网络流量检测组件开始。然后，它使用“相互联系”将机器人聚集到社区中。最后，它使用网络流级别的社区行为分析来检测潜在的僵尸网络。在实验评估中，我们提出了两种规避攻击，我们假设对手事先知道我们的技术，并试图通过使P2P机器人模仿合法P2P应用程序的行为来规避我们的系统。我们的实验结果表明，增强型PeerHunter可以获得高的检测率，误报率低，对所提出的攻击具有很高的鲁棒性。
2018-11-14 cs.CR cs.NI cs.SI
Analyzing The Mirai IoT Botnet and Its Recent Variants: Satori, Mukashi, Moobot, and Sonic
本文详细分析了Mirai物联网僵尸网络及其四个知名变种的攻击方法、影响与感染机制，总结其针对的常见漏洞并提出防御方向，为IoT安全防护提供参考。
2025-08-03 cs.CR
Modeling and Analyzing Attacker Behavior in IoT Botnet using Temporal Convolution Network (TCN)
将僵尸网络列入黑名单的传统反应式方法无法适应快速变化的网络攻击环境。自动化和主动的方法来检测和阻止僵尸网络主机将极大地有利于行业。攻击者的行为分析被证明是有效的，对各种各样的攻击类型。然而，以前的作品，只专注于网络流量的异常，以检测僵尸和僵尸网络。在这项工作中，我们采取了更强大的方法来分析异构事件，包括网络流量，文件下载事件，SSH登录和攻击者在受损主机输入的命令链。我们已经部署了几个蜜罐来模拟Linux shell，并允许攻击者访问shell。我们已经收集了一个大型数据集的异构威胁事件的蜜罐。然后，我们结合和建模的异构威胁数据来分析攻击者的行为。然后，我们使用了一种称为时间卷积网络（TCN）的深度学习架构来对数据进行顺序和预测分析。$85-97\%$的预测精度验证了我们的数据模型以及我们的分析方法。在这项工作中，我们还开发了一种自动化机制来收集和分析这些数据。对于自动化，我们使用了CYbersecurity信息交换（CYBEX）。最后，我们将TCN与长短期记忆（LSTM）和门控递归单元（GRU）进行了比较，并表明TCN在手头的任务上优于LSTM和GRU。
2021-08-27 cs.CR
Real-time Peer-to-Peer Botnet Detection Framework based on Bayesian Regularized Neural Network
在过去的十年中，网络空间已经看到越来越多的攻击来自僵尸网络使用对等（P2P）架构。对等僵尸网络使用分散的命令和控制架构。此外，大量这样的僵尸网络已经存在，并且几乎每年都会发现新的版本-与它们的母机器人明显不同。在这项工作中，作者提出并实现了一种新的混合框架检测P2P僵尸网络在实时网络流量集成神经网络与贝叶斯正则化。贝叶斯正则化有助于实现更好的数据集泛化，从而能够检测僵尸网络活动，即使是那些从未用于训练神经网络的机器人。因此，这样的框架适合于在网络的实时流量中检测更新的和看不见的僵尸网络。这通过在检测模块看不到的测试数据上测试框架来验证（使用未经训练的僵尸网络数据集），作者成功检测到这种活动，准确率为99.2%。
2013-07-29 cs.CR cs.NI
PeerHunter: Detecting Peer-to-Peer Botnets through Community Behavior Analysis
P2P僵尸网络作为网络犯罪的基础设施，已经成为网络安全的主要威胁之一。虽然现有的一些工作声称可以有效地检测传统的僵尸网络，检测P2P僵尸网络的问题涉及更多的挑战。在本文中，我们提出了PeerHunter，社区行为分析为基础的方法，这是能够检测僵尸网络，通过P2P结构进行通信。PeerHunter从P2P主机检测组件开始。然后，它使用相互联系作为主要特征来将机器人聚类到社区中。最后，它使用社区行为分析来检测潜在的僵尸网络社区，并进一步确定僵尸候选人。通过对真实和模拟网络痕迹的大量实验，PeerHunter可以实现非常高的检测率和低误报率。
2018-11-14 cs.CR cs.SI
Detecting Botnets Through Log Correlation
僵尸网络由数千台受感染的机器组成，可以通过发起分布式拒绝服务（SSoS）攻击、键盘记录和后门对其他系统造成重大威胁。为了应对这些威胁，需要新的有效技术来检测僵尸网络的存在。在本文中，我们已经使用了拦截技术来监视Windows应用程序编程接口（API）函数调用的通信应用程序，并存储这些调用与他们的参数在日志文件。我们的算法通过关联来自不同主机的日志文件大小的变化来监控异常活动，从而检测僵尸网络。
2010-01-15 cs.AI cs.CR
Detecting Centralized Architecture-Based Botnets using Travelling Salesperson Non-Deterministic Polynomial-Hard problem, TSP-NP Technique
僵尸网络在网络空间中构成的威胁每天都在继续增长，并且很难检测或渗透机器人的愤世嫉俗。这是由于这样一个事实，即僵尸网络开发人员每天都在不断改变传播和攻击技术。目前，这些攻击大多集中在窃取计算能量，窃取个人信息和分布式拒绝服务（DDoS）攻击。在本文中，作者提出了一种新的技术，使用非确定性多项式时间硬度（NP难问题）的基础上的旅行推销员的人（TSP），描绘了一个给定的机器人，bj，能够访问网络环境中的每个主机，NE，然后它返回到僵尸主机，在指令（命令）的形式，通过最佳最小化的主机（可能）被攻击。鉴于bj代表一段恶意代码和TSP-NP困难问题，这是组合优化的一部分，作者提出了这是一个有效的方法检测僵尸网络。值得注意的是，本研究的重点基本上是集中式僵尸网络架构。这种整体方法表明，僵尸网络检测的准确性可以在一定程度上提高，并可能降低误报的机会。然而，本文也讨论了可能的适用性和实施。
2020-04-18 cs.CR cs.NI
Network Security Modeling using NetFlow Data: Detecting Botnet attacks in IP Traffic
网络安全，即对IP流量中恶意事件的安全监控，是一个统计学家基本上未探索的重要领域。计算机科学家在这一领域做出了重大贡献，他们使用统计异常检测和其他监督学习方法来检测特定的恶意事件。在这项研究中，我们调查僵尸网络命令和控制（C&C）主机在大量的IP流量的检测。我们使用NetFlow数据（IP流量监控的行业标准）进行探索性分析和提取新特征。使用统计以及深度学习模型，我们开发了一个统计入侵检测系统（SIDS），以预测与恶意攻击识别的流量轨迹。采用解释性机器学习技术，僵尸网络流量签名。这些模型成功检测到僵尸网络C&C主机和受损设备。通过将预测与已发布恶意IP地址的现有黑名单进行匹配，验证了结果。
2021-08-19 cs.CR
Exploring Robust Intrusion Detection: A Benchmark Study of Feature Transferability in IoT Botnet Attack Detection
School of Computer Science, University of Nottingham, Ningbo, China（宁波大学计算机科学学院）；School of Computer Science, University of Nottingham, Nottingham, United Kingdom（诺丁汉大学计算机科学学院）
本研究评估了物联网僵尸网络攻击检测中三种流特征集的可迁移性，发现域变化对性能有显著影响，提出了改进鲁棒性的特征工程和算法选择方法。
2026-02-27 cs.AI cs.CR cs.LG
CONDENSER: A Graph-Based Approachfor Detecting Botnets
僵尸网络是一个全球性问题，对受害者造成了巨大的经济和运营损失。它们的实现考虑到了规避，目的是隐藏它们的架构和作者，使它们通常难以检测。这类网络主要用于身份盗窃、虚拟勒索、垃圾邮件活动和恶意软件传播。僵尸网络在战争和恐怖活动中具有巨大的潜力，因此采取行动予以打击至关重要。我们提出了CONDENSER，用于识别僵尸网络活动产生的数据的方法。我们首先从几个数据源中选择适当的功能，即DNS不存在的域响应和指向我们以前下沉的命令和控制服务器的实时通信包。通过使用机器学习算法和基于图形的数据表示，然后允许识别僵尸网络活动，帮助识别异常流量，快速检测新的僵尸网络并改进跟踪已知僵尸网络的活动。我们的主要贡献有三个方面：第一，使用机器学习分类器将域名分类为由域生成算法（DGA）生成的域名;第二，使用一组选定的功能的聚类算法，将网络通信与类似的模式分组;第三，基于图的知识表示框架，我们存储处理后的数据，允许我们执行查询。
2014-10-31 cs.CR
BotNet Intrusion Detection System in Internet of Things with Developed Deep Learning
技术的快速发展导致了计算网络的创建。物联网的应用随着传感器的扩展和发展以及一系列设备连接到互联网的使用而变得越来越明显。当然，任何网络的发展也会带来一些挑战。与其他网络一样，物联网的主要挑战是其安全性。在安全领域，存在攻击检测、认证、加密等问题，其中最重要的攻击之一是破坏网络使用的网络攻击。物联网上最重要的攻击之一是僵尸网络攻击。这个主题的最重要的挑战包括非常高的计算复杂性，缺乏与以前的方法比较，缺乏可扩展性，高执行时间，缺乏审查的准确性方面提出的方法来检测和分类攻击和入侵。在物联网中使用入侵检测系统是识别和检测各种攻击的重要一步。因此，能够解决这些挑战的算法提供了一种接近最优的方法。使用基于训练的模型和算法，如深度学习-强化学习和XGBoost学习组合（DRL-XGBoost）模型，可以成为克服以前弱点的一种有趣方法。本次研究的数据是Bot-IoT-2018。
2022-07-10 cs.CR
NFDLM: A Lightweight Network Flow based Deep Learning Model for DDoS Attack Detection in IoT Domains
Indian Institute of Information Technology（印度信息技术学院）；THM University of Applied Sciences（THM应用科学大学）
近年来，物联网（IoT）设备上的分布式拒绝服务（DDoS）攻击已成为全球互联网用户的主要关注点之一。对物联网生态系统的攻击来源之一是僵尸网络。入侵者通过在短时间内发送大量消息，迫使物联网设备对其合法用户不可用。该研究提出了一种轻量级和优化的基于人工神经网络（ANN）的分布式拒绝服务（DDoS）攻击检测框架NFDLM，该框架以互相关性作为特征选择方法，与长短期记忆（LSTM）和简单ANN相比，其检测性能优于后者。在这项工作中，我们设计并比较了四种不同的模型，其中两种基于ANN，另外两种基于LSTM来检测DDoS攻击类型。
2022-07-15 cs.CR cs.LG
DeepAuditor: Distributed Online Intrusion Detection System for IoT devices via Power Side-channel Auditing
William & Mary（威廉与玛丽学院）；Old Dominion University（欧道明大学）
随着物联网设备数量的迅速增加，物联网僵尸网络已经利用了物联网设备的漏洞。然而，在大规模攻击之前检测物联网设备上的初始入侵仍然具有挑战性。最近的研究利用电源侧信道信息来识别物联网设备上的这种入侵行为，但仍然缺乏用于无处不在的僵尸网络检测的实时准确模型。我们提出了第一个在线入侵检测系统，称为DeepAuditor，用于通过电源审计的物联网设备。为了开发实时系统，我们提出了一个轻量级的电力审计设备称为电力审计。我们还设计了一个分布式CNN分类器，用于实验室环境中的在线推理。为了防止数据泄漏和减少网络冗余，我们提出了一个隐私保护的推理协议，通过压缩同态加密和滑动窗口协议在我们的系统。的分类精度和处理时间进行了测量，所提出的分类器优于基线分类器，特别是对看不见的模式。我们还证明了分布式CNN设计对任何分布式组件都是安全的。总的来说，这些测量结果表明了我们的实时分布式系统在物联网设备上进行入侵检测的可行性。
2022-05-10 cs.CR cs.LG
Optimized Random Forest Model for Botnet Detection Based on DNS Queries
Western University（韦仕敦大学）
域名系统（DNS）协议在当今的互联网中起着重要作用，因为它在网站名称和相应的IP地址之间进行转换。然而，由于缺乏数据完整性和来源身份验证的过程，DNS协议存在一些安全漏洞。这通常会导致各种网络攻击，包括僵尸网络攻击。检测基于DNS的僵尸网络攻击的一个有前途的解决方案是采用基于机器学习（ML）的解决方案。为此，本文提出了一种新的优化ML为基础的框架来检测僵尸网络的基础上，其相应的DNS查询。更具体地说，该框架包括使用信息增益作为特征选择方法和遗传算法（GA）作为超参数优化模型来调整随机森林（RF）分类器的参数。使用最先进的TI-2016 DNS数据集对所提出的框架进行评估。实验结果表明，所提出的优化框架减少了高达60%的特征集大小。此外，与默认分类器相比，它实现了较高的检测准确率，精度，召回率和F分数。这突出了所提出的框架在检测僵尸网络攻击的有效性和鲁棒性。
2020-12-16 cs.CR cs.LG cs.NI
What we learn from learning - Understanding capabilities and limitations of machine learning in botnet attacks
随着僵尸网络攻击的不断增加，计算机网络不断受到削弱网络基础设施的攻击的威胁。实时检测这些攻击被证明是一项困难且资源密集的任务。检测这种攻击的相关方法之一是使用机器学习模型的基于签名的检测。本文探讨了这些模型在检测僵尸网络攻击的有效性，使用从大规模网络攻击中捕获的数据。我们的研究提供了两个机器学习模型-随机森林和多层感知器（深度学习）在这种攻击场景下的性能特征的全面概述。使用大数据分析，该研究探讨了在僵尸网络攻击/通信中使用机器学习的优势，局限性，模型/特征参数和整体性能。从分析中获得的见解，这项工作建议的算法/模型的僵尸网络的特定攻击，而不是一个广义的模型。
2018-05-03 cs.CR
Proactive Population-Risk Based Defense Against Denial of Cyber-Physical Service Attacks
虽然物联网（IoT）有望改善能源效率，医疗保健和交通等领域，但它极易受到网络攻击。特别是，DDoS攻击通过溢出服务器的带宽来工作。但许多物联网设备构成了网络物理系统（CPS）的一部分。因此，它们可用于发起“物理”拒绝服务攻击（PDoS），其中物联网设备溢出CPS的“物理带宽”。在本文中，我们量化了恶意软件针对一组物联网设备进行PDoS攻击的基于人口的风险。为了模拟机器人的招募，我们扩展了传统的博弈论概念，并创建了一个“泊松信号博弈”。“然后我们分析了两种不同的机制（法律和经济）来阻止僵尸网络招募。我们发现：1）防御者可以约束僵尸网络活动; 2）立法规定最低安全级别的效果有限，而激励主动防御可以任意减少僵尸网络活动。这项工作提供了一个定量的基础，设计主动防御PDOS攻击。
2017-10-16 cs.CR
Evasion of IoT Malware Detection via Dummy Code Injection
University of Texas at Arlington（德克萨斯大学阿灵顿分校）
本文提出通过伪代码注入逃避基于功率侧信道的恶意软件检测，揭示了现有检测框架的漏洞。
2026-02-09 cs.CR cs.LG
Efficient IoT Intrusion Detection with an Improved Attention-Based CNN-BiLSTM Architecture
Department of Computer Science（计算机科学系）；Quaid-i-Azam University（夸迪·阿扎姆大学）；Cyber Security Center（网络安全中心）；Prince Mohammad Bin Fahd University（普林斯·穆罕默德·宾·法赫德大学）；School of Computing, Engineering and Built Environment（计算、工程与建筑环境学院）
本文提出一种改进的注意力基于CNN-BiLSTM架构，用于高效检测物联网中的僵尸网络攻击，实现了99%的分类准确率和高精度召回率。
2026-02-11 cs.AI cs.CR
Proactive Defense Against Physical Denial of Service Attacks using Poisson Signaling Games
虽然物联网（IoT）有望改善能源效率，医疗保健和交通等领域，但它极易受到网络攻击。特别是，分布式拒绝服务（DDoS）攻击使服务器的带宽过载。但许多物联网设备构成了网络物理系统（CPS）的一部分。因此，它们可用于发起“物理”拒绝服务攻击（PDoS），其中物联网设备溢出CPS的“物理带宽”。在本文中，我们量化了恶意软件针对一组物联网设备进行PDoS攻击的基于人口的风险。为了模拟招聘的机器人，我们开发了一个“泊松信号游戏”，一个信号游戏与未知数量的接收器，有不同的能力来检测欺骗。然后，我们使用这个游戏的一个版本来分析两种机制（法律和经济），以阻止僵尸网络招聘。均衡结果表明：1）防御者可以约束僵尸网络活动，2）立法最低安全级别的效果有限，而激励主动防御可以任意减少僵尸网络活动。这项工作提供了一个定量的基础，主动的PDOS防御。
2017-10-16 cs.CR
BotMosaic: Collaborative Network Watermark for Botnet Detection
最近的研究在僵尸网络检测领域取得了长足的进步。然而，各种僵尸网络继续困扰着互联网，因为许多ISP和组织没有部署这些技术。我们的目标是通过创建一个非常低成本的方法来检测受感染的机器人主机来缓解这种状态。我们的方法是利用一些组织开展的僵尸网络检测工作，轻松定位其他地方的协作机器人。我们创建了BotMosaic作为对基于IRC的僵尸网络的对策。BotMosaic依赖于由水印器控制的捕获的bot实例，水印器将特定模式插入其网络流量中。然后，客户组织可以以非常低的成本检测到这种模式，并且可以调整水印以提供可接受的误报率。水印的一个新特性是，它一次协作地插入到多个捕获的机器人的流中，以确保信号足够强以被检测到。BotMosaic还可以用来检测垫脚石，并帮助追溯到僵尸大师。它与内容无关，可以对加密流量进行操作。我们使用模拟和测试平台部署来评估BotMosaic。
2012-03-09 cs.CR
Harris Hawks Feature Selection in Distributed Machine Learning for Secure IoT Environments
Mohamed Bin Zayed University of Artificial Intelligence（穆罕默德·本·扎耶德人工智能大学）；Technology Innovation Institute（技术创新研究所）
物联网（IoT）的发展极大地扩展了我们的日常生活，在智能城市，医疗保健和建筑方面发挥着关键作用。物联网等新兴技术寻求提高认知城市的服务质量。虽然物联网应用在智能建筑应用中很有帮助，但它们存在真正的风险，因为这些建筑物中使用异构网络的大量互连设备增加了潜在的物联网攻击数量。物联网应用程序可以收集和传输敏感数据。因此，有必要开发新的方法来检测被黑客入侵的物联网设备。提出了一种基于Harris Hawks Optimization（HHO）和Random Weight Network（RWN）的特征选择（FS）模型，用于检测从受损物联网设备发起的物联网僵尸网络攻击。分布式机器学习（DML）旨在在边缘设备上本地训练模型，而无需将数据共享到中央服务器。因此，我们使用集中式和分布式ML模型来应用所提出的方法。这两种学习模型在两个物联网僵尸网络攻击的基准数据集下进行了评估，并使用不同的评估指标与其他知名的分类技术进行了比较。实验结果表明，在大多数情况下，准确率，精度，召回率和F-测量方面的改善。所提出的方法实现了平均F-测量高达99.9%。结果表明，DML模型在本地维护数据的同时，实现了与集中式ML相比具有竞争力的性能。
2023-02-20 cs.CR cs.LG eess.SP
Where Have All the Firewalls Gone? Security Consequences of Residential IPv6 Transition
Johns Hopkins University（约翰斯·霍普金斯大学）；University of Maryland（马里兰大学）；San Diego State University（圣地亚哥州立大学）
本文通过大规模IPv6扫描发现，住宅网络IPv6过渡使设备暴露于攻击，NAT曾充当事实防火墙，并提出了缓解措施。
2026-09-15 cs.CR cs.NI
Piping Botnet - Turning Green Technology into a Water Disaster
客户和消费者正在使用当前一代的物联网设备来管理从关键基础设施（如城市供水服务和智能电网）获得的资源（如水和电），从而创建针对关键基础设施的新攻击媒介。在这项研究中，我们表明，智能灌溉系统，一种新型的绿色技术和物联网设备，旨在节约用水和金钱，可以被攻击者用作攻击城市供水服务的手段。我们提出了一个分布式攻击模型，攻击者可以使用商业智能灌溉系统的僵尸网络来攻击城市供水服务。然后，我们展示了在局域网中受损设备上运行的机器人如何：（1）通过使用专用分类模型分析局域网的行为，在15分钟内检测连接的商业智能灌溉系统（RainMachine，BlueSpray和GreenIQ），以及（2）根据攻击者的意愿使用欺骗和重放攻击通过商业智能灌溉系统启动浇水。此外，我们还对这种攻击可能造成的损害进行了建模，并表明使用1，355个喷头的僵尸网络可以在一小时内清空标准水塔，使用23，866个喷头的僵尸网络可以在一夜之间清空洪水水库。最后，我们讨论了对策方法，并假设下一代管道工是否会使用Kali Linux而不是活动扳手。
2018-08-06 cs.CR cs.CY
Taking Control: Design and Implementation of Botnets for Cyber-Physical Attacks with CPSBot
最近，Mirai和Persirai等僵尸网络大规模瞄准物联网设备。我们考虑僵尸网络对网络物理系统（CPS）的攻击，这需要先进的功能，如实时控制物理过程。传统的僵尸网络不适合这一目标，主要是因为它们缺乏进程控制能力，没有针对低延迟通信进行优化，并且僵尸程序通常不利用本地资源。我们认为，这种攻击需要网络物理僵尸网络。网络物理僵尸网络需要协调和异构的机器人，能够执行对抗控制策略，同时受到目标CPS的约束。在这项工作中，我们提出了CPSBot，一个框架来建立网络物理僵尸网络。我们提出了一个例子，集中式CPSBot针对集中控制系统和分散式CPSBot针对系统分布式控制。我们使用MQTT为C&C通道和Modbus/TCP作为目标网络协议实现了以前的CPSBot，并使用它对真实和模拟的水分配发起了几次攻击。我们评估我们的实现与分布式答复和分布式模拟攻击的CPS，并显示恶意控制可以忽略不计的延迟是可能的。
2018-02-01 cs.CR
FLEAM: A Federated Learning Empowered Architecture to Mitigate DDoS in Industrial IoT
分布式拒绝服务（DDoS）攻击对工业物联网（IIoT）是有害的，因为它会在网络对象上引发严重的资源匮乏。最近的动态表明，对于使用僵尸网络的攻击者来说，这是一项利润丰厚的业务。目前的集中缓解解决方案集中在受害者一方的检测和缓解，对黑客攻击成本和维护者的合作关注不够。因此，我们提出了联邦学习授权缓解架构（FLEAM），以倡导联合防御，招致更高的黑客费用。FLEAM将FL和雾计算相结合，以减少缓解时间并提高检测准确性，使防御者能够共同对抗僵尸网络。我们的综合评估显示，攻击费用是传统解决方案的2.5倍，缓解延迟降低约72%，准确性平均提高47%。
2021-12-10 cs.CR cs.IT math.IT
Detecting Target-Area Link-Flooding DDoS Attacks using Traffic Analysis and Supervised Learning
Singapore University of Technology and Design（新加坡科技设计大学）；University of Luxembourg（卢森堡大学）；SAP Innovation Center Singapore（新加坡SAP创新中心）
一种新型的极端链接泛滥DDoS（分布式拒绝服务）攻击旨在通过同时针对选定的一组网络链接来切断整个地理区域（如城市甚至国家）的互联网。交叉火力攻击是一种目标区域链路泛洪攻击，它分为三个复杂的阶段。该攻击使用大规模分布的大规模僵尸网络来生成低速率的良性流量，旨在拥塞选定的网络链路，即所谓的目标链路。采用良性流量，同时针对多个网络链接，使检测交叉火力攻击成为一个严峻的挑战。在本文中，我们提出了分析和仿真结果，显示迄今未识别的漏洞在执行的攻击，如僵尸网络流量的协调和攻击的质量之间的相关性，以及攻击分布和攻击的可检测性之间的相关性。此外，我们还确定了由于机器人同步而导致的预热期。对于攻击检测，我们报告使用两种监督机器学习方法的结果：支持向量机（SVM）和随机森林（RF）的分类网络流量正常和异常流量，即攻击流量。这些机器学习模型已经在各种场景中使用链接量作为主要特征集进行了训练。
2019-03-01 cs.CR cs.LG cs.NI
AntibIoTic: Protecting IoT Devices Against DDoS Attacks
2016年是向世界展示分布式拒绝服务攻击有多危险的一年。DDoS攻击破坏性的衡量标准是所涉及的僵尸程序的数量：僵尸网络越大，攻击越强大。这一特性，以及连接和不安全的物联网设备的可用性不断增加，使DDoS和物联网成为恶意软件行业的完美组合。在本文中，我们介绍了AntibIoTic背后的主要思想，这是一种预防通过物联网设备进行DDoS攻击的姑息性解决方案。
2017-06-28 cs.CR cs.CY
How To Mitigate And Defend Against DDoS Attacks In IoT Devices
本文分析了IoT网络中DDoS攻击的性质与影响，提出了包含IPv6 ULA、边缘计算、SDN、蜜罐欺骗和基于机器学习的入侵检测系统等分层缓解策略，以帮助工程师和研究人员实施实用对策保护IoT基础设施。
2025-07-15 cs.CR
Machine Learning DDoS Detection for Consumer Internet of Things Devices
Princeton University（普林斯顿大学）
越来越多的物联网（IoT）设备连接到互联网，但其中许多设备从根本上讲是不安全的，使互联网面临各种攻击。Mirai等僵尸网络使用不安全的消费者物联网设备对关键的互联网基础设施进行分布式拒绝服务（DDoS）攻击。这推动了新技术的开发，以自动检测消费者物联网攻击流量。在本文中，我们证明了使用物联网特定的网络行为（例如有限数量的端点和数据包之间的规则时间间隔）来通知特征选择可以通过各种机器学习算法（包括神经网络）在物联网网络流量中实现高精度DDoS检测。这些结果表明，家庭网关路由器或其他网络中间盒可以使用低成本的机器学习算法和基于流量和协议无关的流量数据自动检测DDoS攻击的本地物联网设备来源。
2018-04-11 cs.CR cs.LG
A Distributed and Cooperative Approach to Botnet Detection Using Gossip Protocol
近年来，僵尸网络对企业网构成了重大威胁。由于僵尸网络运行方式的分布式性质，企业面临的问题变得尖锐。机器人是一种程序，它作为用户的代理，在互联网上运行自动化任务，其速度远远高于人类单独运行的速度。网络中用于恶意目的的僵尸程序集合称为僵尸网络。在本文中，我们提出了一个分布式的，合作的方法来检测僵尸网络是一个给定的网络，这是受到八卦协议的启发。给定网络中的每个节点都运行一个独立的代理，该代理定期计算该节点的可疑值。网络中的每个节点以规则的间隔与网络中的每个其他节点交换其怀疑值。流言协议的使用确保了如果网络中的一个节点受到危害，网络中的所有其他节点都会尽快得到通知。每个节点还确保在任何情况下，通过流言协议，它保持网络中所有其他节点的最新怀疑值。
2012-06-30 cs.CR
Detecting Compromised IoT Devices Using Autoencoders with Sequential Hypothesis Testing
Florida State University（佛罗里达州立大学）；University of Hawaii（夏威夷大学）
本文提出CUMAD框架，通过集成自编码器异常检测与SPRT序贯假设检验来积累证据，有效降低受损IoT设备检测的误报率并实现快速检测。
2024-04-21 cs.CR cs.LG
