恶意BGP劫持的精确实时识别制造技术

本发明专利技术提供了用于实时检测恶意劫持事件的系统和方法。所述方法可包括接收来自至少一个BGP路由器的与边界网关协议(BGP)事件相关联的路由数据。所述方法还可包括处理所述路由数据以生成表示所有权和与源和上游装置相关的各种其他细节的特征列表。所述方法还可包括使用所述路由数据和所述特征列表生成劫持检测模型，其中采用了机器学习技术，诸如正样本未标记学习技术。所述机器学习技术可包括至少一个数据输入和概率输出；其中，所述数据输入耦接以接收历史确认的BGP劫持数据集和所述路由数据，而所述概率输出传输所述恶意事件的概率值，所述概率值可基于所述数据输入计算。最后，所述方法可包括使用所述BGP劫持模型将所述BGP事件分类为恶意事件或良性事件。该分类可使用阈值截止值并将该阈值与所述机器学习技术生成的所述概率进行比较来实现。

Accurate real-time identification of malicious BGP hijacking

The present invention provides a system and method for real-time detection of malicious hijacking events. The method may include receiving routing data associated with boundary gateway protocol (BGP) events from at least one BGP router. The method may also include processing the routing data to generate a feature list representing ownership and various other details related to the source and upstream devices. The method may also include generating a hijacking detection model using the routing data and the feature list, wherein machine learning techniques such as positive sample unlabeled learning techniques are employed. The machine learning technique may include at least one data input and a probability output, wherein the data input is coupled to receive a historically confirmed BGP hijacking data set and the routing data, and the probability output transmits a probability value of the malicious event, the probability value may be calculated based on the data input. Finally, the method may include classifying the BGP events as malicious or benign events using the BGP hijacking model. The classification may be implemented by using a threshold cut-off value and comparing the threshold with the probability generated by the machine learning technique.

【技术实现步骤摘要】
【国外来华专利技术】恶意BGP劫持的精确实时识别
技术介绍
网络罪犯通过边界网关协议(BGP)劫持可暂时窃取与可信自治系统(AS)相关联的互联网协议地址块(IP地址)以执行其他恶意活动，诸如，发送垃圾邮件、网络钓鱼、恶意软件托管等。由于IP地址是分配给参与使用互联网协议进行通信的计算机网络的每个设备(例如，计算机、打印机)的数字标签，因此IP地址的窃贼表示身份信息窃贼的形式，由此不能追查罪犯的踪迹。可将这些单独的IP地址一起组合成前缀，这可由AS(诸如Sprint、Verizon、AT&T等)发起或拥有。每个AS可包括具有路由表的一个或多个路由器，使用BGP作为用于在AS之间交换关于IP路由的信息的标准路由协议来维护所述路由表。因此，从被劫持的网络发起攻击，网络罪犯可以基于先前的IP信誉阻碍可追溯性并规避安全系统，这通常可以用作网络的第一层防御。尽管BGP劫持监视器有助于检测被劫持的网络IP前缀，但现有的劫持检测技术主要受制于四个方面。首先，传统的劫持检测系统呈现包含正样本和负样本示例两者的标记集合，其中正样本表示恶意BGP通告(路由数据)，而负样本表示良性BGP通告。然而，现实世界实现的正样本只能由能够自信地识别BGP劫持事件的安全专家检测到，而负样本(良性BGP通告)太多样化而无法标记。由于使检测到的劫持无效的具有挑战性的任务，其他当前劫持监视器遭受了许多正误识。其次，一些当前劫持监视器仅帮助网络运营商监视他们自己的网络，在这种情况下，网络运营商手动提供对检测到的劫持事件的生效或失效。第三，这些检测机制中的一些仅在互联网路由基础结构中查找异常以检测网络IP前缀的劫持而不将其与任何类型的恶意网络流量相关联，以查看被劫持的前缀是否可用于发起其他类型的攻击。第四，一些系统仅考虑网络IP前缀劫持的几个场景，这些场景可能不一定是网络罪犯所使用的场景。最后，已经做出了很多努力来将安全机制实现到路由基础结构中(通常使用加密技术)以防止网络IP前缀劫持攻击(例如，RPKI、BGPsec等)。然而，这些所提议的解决方案通常需要对网络设备的软件和硬件进行重大更改，这在当前使得这些解决方案无法广泛展开。正是在这种情况下，以下实施方案应运而生。
技术实现思路
在一些实施方案中，提供了检测路由器劫持事件的系统和方法。该方法可包括通过数据收集模块从至少一个BGP路由器接收与BGP事件相关联的路由数据。该方法还可包括通过数据处理器处理路由数据以生成与源、前缀和/或上游装置相关联的特征列表。此外，该方法可包括使用路由数据和特征列表生成劫持检测模型。模型生成步骤可包括通过采用包括至少一个数据输入和概率输出的机器学习技术(诸如正样本未标记(PU)学习)来计算恶意事件的概率；其中，数据输入耦接以接收历史确认的BGP劫持数据集和路由数据，从而概率输出基于数据输入传输恶意事件的概率值。此外，该方法可包括使用BGP劫持模型将BGP事件分类为恶意事件或良性事件。分类可包括使用路由数据的保持数据子集评估概率是否大于阈值截止值；由此，在验证概率大于阈值截止值时，事件被分类为恶意事件。在一些实施方案中，提供了路由器劫持检测系统。路由器劫持检测系统可包括数据收集模块，该数据收集模块被耦接以从至少一个BGP路由器接收与BGP事件相关联的路由数据、存储器以及处理器。处理器可包括数据处理模块，该数据处理模块耦接到数据收集模块，以生成与路由数据相关联的特征列表。处理器还可包括模型生成模块，该模型生成模块耦接到数据收集模块和数据处理模块，以基于路由数据和特征列表生成劫持检测模型。此外，处理器可包括检测单元，该检测单元耦接到模型生成模块以使用BGP劫持模型和劫持检测模型来将BGP事件分类为恶意事件或良性事件。此外，处理器可包括验证单元，该验证单元耦接到检测单元，以接收分类的恶意事件或良性事件的通知并且检测是否发生了正误识或负误识。该验证单元可耦接到校正单元以校正历史确认的BGP劫持数据集。此外，调谐单元耦接到模型生成模块，以用于使用校正的历史确认的BGP劫持数据集来重新训练劫持检测模型。在一些实施方案中，有形非暂态计算机可读介质具有指令，其中所述指令当由处理器执行时，使得处理器执行本文所述的路由器劫持检测方法。该方法可包括通过数据收集模块从至少一个BGP路由器接收与BGP事件相关联的路由数据。该方法还可包括通过数据处理器处理路由数据以生成与源、前缀或上游装置相关联的特征列表。此外，该方法可包括使用路由数据和特征列表生成劫持检测模型。模型生成步骤可包括通过采用包括至少一个数据输入和概率输出的机器学习技术(诸如PU学习)来计算恶意事件的概率；其中，数据输入耦接以接收历史确认的BGP劫持数据集和路由数据，从而概率输出基于数据输入传输恶意事件的概率值。此外，该方法可包括使用BGP劫持模型将BGP事件分类为恶意事件或良性事件。分类可包括使用路由数据的保持数据子集评估概率是否大于阈值截止值；由此，在验证概率大于阈值截止值时，事件被分类为恶意事件。根据以下结合附图的具体实施方式，实施方案的其他方面和优点将变得显而易见，所述附图以举例的方式示出了所描述的实施方案的原理。附图说明通过参考以下结合附图的描述可完全理解所描述的实施方案及其优点。在不脱离所描述的实施方案的实质和范围的情况下，这些附图决不限制本领域技术人员可对所描述的实施方案进行的形式和细节上的任何更改。图1A是具有劫持检测系统的示例性网络架构的框图，所述劫持检测系统检测本文所公开的实时应用中的恶意劫持事件。图1B是一些实施方案中的图1的示例性自治系统(AS)。图2是具有嵌入式劫持检测模块的示例性AS。图3A是根据一些实施方案的用于实时检测恶意劫持事件的方法的流程图。图3B是根据一些实施方案的图3A的模型建立阶段300的流程图。图3C是根据一些实施方案的图3A的劫持检测阶段350和模型重新训练阶段380的流程图。图4是示出了可实现本文所述的实施方案的示例性计算设备的示意图。具体实施方式以下实施方案描述了检测路由器劫持事件以用于确保网络完整性的系统和方法。该方法可包括通过数据收集模块从至少一个BGP路由器接收与BGP事件相关联的路由数据。该方法还可包括通过数据处理器处理路由数据以生成与源、前缀和/或上游装置相关联的特征列表。此外，该方法可包括使用路由数据和特征列表生成劫持检测模型。模型生成步骤可采用包括至少一个数据输入和概率输出的机器学习技术；其中，数据输入耦接以接收历史确认的BGP劫持数据集和路由数据，而概率输出传输恶意事件的概率值，该概率值可基于数据输入计算。此外，该方法可包括使用BGP劫持模型将BGP事件分类为恶意事件或良性事件。具体地讲，分类可包括使用路由数据的保持数据子集评估概率是否大于阈值截止值；由此，在验证概率大于阈值截止值时，事件被分类为恶意事件。因此，已知与恶意事件相关联的网络IP前缀可能是有价值的，使得本文所述的系统能够采取必要的适当动作以便不仅为单个IP地址而且为整个IP地址块(IP前缀)重选路由流量。该系统可采用机器学习技术，诸如PU学习方法来实现精确的实时BGP劫持识别，克服有限的良性训练数据并减轻安全专家的手动标记工作。具体地讲，模型生成步骤可采用具有正数据输入，未标记数据输入和概率输出的PU学习技术，本文档来自技高网...

【技术保护点】
1.一种检测路由器劫持事件的方法，所述方法包括：通过数据收集模块接收来自至少一个BGP路由器的与边界网关协议(BGP)事件相关联的路由数据；通过数据处理器处理所述路由数据以生成与源、前缀或上游装置相关联的特征列表；使用所述路由数据和所述特征列表生成劫持检测模型；以及使用所述BGP劫持模型将所述BGP事件分类为恶意事件或良性事件。

【技术特征摘要】
【国外来华专利技术】2015.12.21 US 14/9772611.一种检测路由器劫持事件的方法，所述方法包括：通过数据收集模块接收来自至少一个BGP路由器的与边界网关协议(BGP)事件相关联的路由数据；通过数据处理器处理所述路由数据以生成与源、前缀或上游装置相关联的特征列表；使用所述路由数据和所述特征列表生成劫持检测模型；以及使用所述BGP劫持模型将所述BGP事件分类为恶意事件或良性事件。2.根据权利要求1所述方法，其中所述生成所述劫持检测模型包括：检索历史确认的BGP劫持数据集；使用所述路由数据的保持数据子集生成阈值截止值；以及通过采用具有数据输入和概率输出的机器学习技术来计算所述恶意事件的概率，其中所述数据输入耦接以接收所述历史确认的BGP劫持数据集和所述路由数据；其中当所述概率大于所述阈值截止值时，所述BGP事件被分类为所述恶意事件。3.根据权利要求2所述的方法，其中所述机器学习技术为具有正数据输入、未标记数据输入以及概率输出的正样本未标记(PU)学习算法，其中所述正数据输入被耦接以接收所述历史确认的BGP劫持数据集，并且所述未标记数据输入被耦接以接收所述路由数据。4.根据权利要求1所述方法，其中所述分类所述BGP事件包括：接收来自所述劫持检测模型的劫持事件的概率；确定所述概率是否大于预定值；以及响应于所述概率大于所述预定值，将所述BGP事件分类为所述恶意事件。5.根据权利要求1所述的方法，还包括：检测每个事件是否是负误识或正误识；响应于检测到负误识或正误识，校正所述历史确认的BGP劫持数据集；以及使用所述校正的历史确认的BGP劫持数据集来重新训练所述BGP劫持模型。6.根据权利要求1所述的方法，还包括：响应于恶意事件，生成IP地址块的信誉评分；以及将所述信誉评分传输到至少一个耦接的自治系统(AS)。7.根据权利要求1所述的方法，还包括：响应于恶意事件，确定与所述恶意事件相关联的IP地址块；访问路由表以识别至少一个损坏的路径；使用所述路由表生成校正的路径；以及利用所述校正的路径更新所述路由表。8.一种路由器劫持检测系统，所述路由器劫持检测系统包括：数据收集模块，所述数据收集模块被耦接以接收来自至少一个BGP路由器的与BGP事件相关联的路由数据；存储器，所述存储器耦接到所述数据收集模块；和处理器，所述处理器耦接到存储器和所述数据收集模块，所述处理器包括：数据处理模块，所述数据处理模块耦接到所述数据收集模块以生成与所述路由数据相关联的特征列表；模型生成模块，所述模型生成模块耦接到数据收集模块和所述数据处理模块，以基于所述路由数据和所述特征列表生成劫持检测模型；和检测单元，所述检测单元耦接到所述模型生成模块，以使用所述BGP劫持模型和所述劫持检测模型将所述BGP事件分类为恶意事件或良性事件。9.根据权利要求8所述的路由器劫持检测系统，其中所述模型生成模块包括：接收器，所述接收器被耦接以接收历史确认的BGP劫持数据集；阈值模块，所述阈值模块耦接到所述数据收集模块，以使用所述路由数据的保持数据子集生成阈值截止值；处理单元，所述处理单元耦接到所述阈值模块和所述数据收集模块；其中所述处理单元被配置为采用具有数据输入和概率输出的机器学习技术来计算所述恶意事件的概率，其中所述数据输入被耦接以接收所述历史确认的BGP劫持数据集和所述BGP路由数据；其中当所述概率大于所述阈值截止值时，所述BGP事件被分类为所述恶意事件。10.根据权利要求9所述的路由器劫持检测系统，其中所述处理单元的所述机器学习技术为具有...

【专利技术属性】
技术研发人员：Y·沈，韩宇飞，PA·沃韦尔，
申请(专利权)人：赛门铁克公司，
类型：发明
国别省市：美国,US