Identificação e caracterização de campanhas de spam a partir de honeypots

• Autor(a) principal: Pedro Henrique Calais Guerra
• Data de Publicação: 2009
• Tipo de documento: Dissertação
• Idioma: por
• Título da fonte: Repositório Institucional da UFMG
• Texto Completo: http://hdl.handle.net/1843/BUBD-9JTMUS
• topic: Ciência da computação; Redes de computadores Medidas de segurança; Computação; Mineração de dados (Computação)

Este trabalho apresenta uma metodologia para caracterização de estratégias de disseminação de spams a partir da identificação de campanhas. Para entender com profundidade como spammers abusam os recursos da rede e constróem suas mensagens, uma análise agregada das mensagens de spam não é suficiente. O agrupamento de mensagens de spam em suas respectivas campanhas permite revelar comportamentos que não poderiam ser percebidos ao considerar o conjunto de mensagens como um todo. Este trabalho propõe uma técnica para identificação de campanhas de spam baseada na construção de uma Árvore de Padrões Frequentes, capaz de capturar os invariantes no conteúdo das mensagens e detectar mensagens que diferem apenas por características ofuscadas e variadas aleatoriamente por spammers. A técnica foi capaz de agrupar um conjunto de 350 milhões de mensagens em 57.851 campanhasdistintas. Em seguida, essas campanhas foram caracterizadas em termos de seus conteúdos e da forma como exploram recursos da rede. A partir da aplicação de algoritmos de mineração de regras de associação, foi possível determinar co-ocorrência de atributos das campanhas que revelam diferentes estratégias de disseminação de spams. Em particular, foram determinadas relações significativas entre a origem do spam e a forma como ele é disseminado na rede,entre sistemas operacionais e tipos de abuso e na forma como spammers encadeiam abusos entre máquinas na rede para entregar mensagens enquanto mantém anonimato. Os dados utilizados no trabalho foram coletados a partir de honeypots de baixa-interatividade que emulam proxies e relays abertos, comumente abusados por spammers. A coleta dos dados por esses emuladores estabeleceu uma visão do tráfego de spams antes que as mensagens fossem entregues aos destinatários, o que permitiu a determinação das diferentes estratégias de entrega de mensagens empregadas por spammers.