Social network analysis of malicious websites for detection and characterization

Abstract

Zararlı web siteleri kullanıcılar ve şirketler için ekonomik zararlar, mahremiyet ihlalleri ve değerli veri kayıpları gibi büyük riskler oluştururlar. Kötü niyetli aktörler web sitelerini amaçları için bir yayılma aracı olarak kullanırlar. Zararlı web siteleri arasındaki ilişkiyi analiz etmek ve bunları zararsız web siteleri ile karşılaştırmak sorunu daha iyi anlamaya yardımcı olabilir ve böylece bu websitelerini daha doğru bir şekilde tespit edip önlemeye imkan sağlayabilir.Bu tez, Sosyal Ağ Analizi (SAA) kullanarak kötü amaçlı web sitelerinin tespitine ve karakterizasyonuna odaklanmaktadır. SAA, aktörler arasındaki ilişkileri keşfetmeye ve görselleştirmeye yardımcı olan güçlü metodolojiler sunar. Zararlı ve zararsız web sayfalarının kendi aralarında ve birbirleriyle olan bağlantılarını kullanarak düğümleri web siteleri, bağları da aralarındaki linkler olan çizgeler oluşturuldu. Bu amaçla, yüz binlerce web sayfası arasındaki karşılıklı bağlantıların anlık durum görüntüsünü, zararlı web sitelerinin listesini ve onların tiplerini içeren veri webden elde edildi. Öncelikle zararlı web siteleri ağları oluşturuldu. Daha sonra, bu ağları kullanarak zararlı web sitelerini ve onların tiplerini verimli biçimde bulmak için ağ yapılarına ve bağlantı benzerliklerine dayanan yeni analizler yapıldı. Uygulanan metodların tespit doğruluğunu gösteren sonuçlar sunuldu.

Malicious websites pose major risks to users and businesses including economic damages, privacy breaches and loss of valuable data. Malicious actors use websites as a spreading medium for their motives. Analyzing the relationships between malicious websites and comparing them to benign ones can help understand the problem better, and enable detection and prevention of these websites more accurately.This thesis focuses on detection and characterization of malicious websites using Social Network Analysis (SNA). SNA provides powerful methodologies for discovering and visualizing the relationships between actors. By utilizing the links in between and among malicious and benign websites, graphs were constituted, whose nodes were websites and ties were hyperlinks between them. For this purpose, the data which included the snapshot of the pairwise links amongst hundreds of thousands of websites, the list of malicious websites and their types were obtained from the web. First, networks of malicious websites were formed. Then, using these networks new analyses were carried out to efficiently find malicious websites and their types based on their network structures and link similarities. Results were presented showing the detection accuracies of applied methods.