[发明专利]恶意BGP劫持的精确实时识别

说明书

本发明提供了用于实时检测恶意劫持事件的系统和方法。所述方法可包括接收来自至少一个BGP路由器的与边界网关协议(BGP)事件相关联的路由数据。所述方法还可包括处理所述路由数据以生成表示所有权和与源和上游装置相关的各种其他细节的特征列表。所述方法还可包括使用所述路由数据和所述特征列表生成劫持检测模型，其中采用了机器学习技术，诸如正样本未标记学习技术。所述机器学习技术可包括至少一个数据输入和概率输出；其中，所述数据输入耦接以接收历史确认的BGP劫持数据集和所述路由数据，而所述概率输出传输所述恶意事件的概率值，所述概率值可基于所述数据输入计算。最后，所述方法可包括使用所述BGP劫持模型将所述BGP事件分类为恶意事件或良性事件。该分类可使用阈值截止值并将该阈值与所述机器学习技术生成的所述概率进行比较来实现。

背景技术

网络罪犯通过边界网关协议(BGP)劫持可暂时窃取与可信自治系统(AS)相关联的互联网协议地址块(IP地址)以执行其他恶意活动，诸如，发送垃圾邮件、网络钓鱼、恶意软件托管等。由于IP地址是分配给参与使用互联网协议进行通信的计算机网络的每个设备(例如，计算机、打印机)的数字标签，因此IP地址的窃贼表示身份信息窃贼的形式，由此不能追查罪犯的踪迹。可将这些单独的IP地址一起组合成前缀，这可由AS(诸如Sprint、Verizon、AT&T等)发起或拥有。每个AS可包括具有路由表的一个或多个路由器，使用BGP作为用于在AS之间交换关于IP路由的信息的标准路由协议来维护所述路由表。因此，从被劫持的网络发起攻击，网络罪犯可以基于先前的IP信誉阻碍可追溯性并规避安全系统，这通常可以用作网络的第一层防御。

尽管BGP劫持监视器有助于检测被劫持的网络IP前缀，但现有的劫持检测技术主要受制于四个方面。首先，传统的劫持检测系统呈现包含正样本和负样本示例两者的标记集合，其中正样本表示恶意BGP通告(路由数据)，而负样本表示良性BGP通告。然而，现实世界实现的正样本只能由能够自信地识别BGP劫持事件的安全专家检测到，而负样本(良性BGP通告)太多样化而无法标记。由于使检测到的劫持无效的具有挑战性的任务，其他当前劫持监视器遭受了许多正误识。

其次，一些当前劫持监视器仅帮助网络运营商监视他们自己的网络，在这种情况下，网络运营商手动提供对检测到的劫持事件的生效或失效。第三，这些检测机制中的一些仅在互联网路由基础结构中查找异常以检测网络IP前缀的劫持而不将其与任何类型的恶意网络流量相关联，以查看被劫持的前缀是否可用于发起其他类型的攻击。第四，一些系统仅考虑网络IP前缀劫持的几个场景，这些场景可能不一定是网络罪犯所使用的场景。

最后，已经做出了很多努力来将安全机制实现到路由基础结构中(通常使用加密技术)以防止网络IP前缀劫持攻击(例如，RPKI、BGPsec等)。然而，这些所提议的解决方案通常需要对网络设备的软件和硬件进行重大更改，这在当前使得这些解决方案无法广泛展开。正是在这种情况下，以下实施方案应运而生。

发明内容

在一些实施方案中，提供了检测路由器劫持事件的系统和方法。该方法可包括通过数据收集模块从至少一个BGP路由器接收与BGP事件相关联的路由数据。该方法还可包括通过数据处理器处理路由数据以生成与源、前缀和/或上游装置相关联的特征列表。此外，该方法可包括使用路由数据和特征列表生成劫持检测模型。模型生成步骤可包括通过采用包括至少一个数据输入和概率输出的机器学习技术(诸如正样本未标记(PU)学习)来计算恶意事件的概率；其中，数据输入耦接以接收历史确认的BGP劫持数据集和路由数据，从而概率输出基于数据输入传输恶意事件的概率值。此外，该方法可包括使用BGP劫持模型将BGP事件分类为恶意事件或良性事件。分类可包括使用路由数据的保持数据子集评估概率是否大于阈值截止值；由此，在验证概率大于阈值截止值时，事件被分类为恶意事件。