I n te r n ati o n al   Jo u r n al   o El e c tr i c a l   an d   C o m p u te r   En gi n e e r i n g   (I JEC E )   V o l .   10 ,   N o .   3 J u n e   20 20 ,   pp .   2543 ~ 2550   IS S N :   2088 - 8708 D O I :   10. 1 1591 / i j e c e . v 10 i 3 . pp 2543 - 2550             2543       Jou r n al   h o m e pa ge ht t p: / / i j e c e . i ae s c or e . c om / i nd e x . php / IJ E CE   B o t n e t   d e t e c t i o n   u si n g   e n sem b l e   c l a ssi f i e r o f   n e t w o r k   f l o w         Zah r aa   M .   A l g e l a l 1 ,   Em an   A b d u l az i z   G h an i   A l d h ah e r 2 ,   D al i a   N .   A b d u l - Wad oo d 3 ,     R ad h w an   H u s s e i n   A b d u l z h r aa  A l - S agh e e r 4   1 , 2 , 4 D e pa r t m e n t   of   C o m put e r   S c i e nc e ,   F a c ul t y   of   E duc a t i o f o r   G i r l s ,   U ni v e r s i t y   o f   K uf a ,   I r a q   3 C o l l e g e   o f   M e d i c i ne ,   U ni v e r s i t y   o f   B a g da d,   I r a q       A r ti c l e   I n fo     A B S TR A C T   Ar t i c l e   h i s t or y :   R e c e i v e d   M a r   19 ,   2 019   R e v i s e O c t   2 6 ,   20 19   A c c e pt e N o v   22 ,   20 19       R e c e nt l y ,   B o t ne t s   ha v e   be c o m e   a   c o m m o t oo l   f o r   i m pl e m e nt i ng   a nd  t r a ns f e r r i ng   v a r i o us   m a l i c i o us   c o de s   o v e r   t he   I nt e r ne t .   T he s e   c o de s   c a b e   us e d   t o   e x e c ut e   m a ny   m a l i c i o us   a c t i v i t i e s   i nc l ud i ng   D D O S   a t t a c k,   s e nd   s pa m ,   c l i c k   f r a ud ,   a nd   s t e a l   da t a .   T he r e f o r e ,   i t   i s   ne c e s s a r y   t o   us e   M o de r n   t e c hno l o g i e s   t o   r e d uc e   t hi s   p he no m e no a nd  a v o i t h e m   i a dv a nc e   i o r d e r   t o   di f f e r e nt i a t e   t h e   B o t n e t s   t r a f f i c   f r o m   no r m a l   n e t w o r k   t r a f f i c .   I t hi s   w o r k ,   e ns e m b l e   c l a s s i f i e r   a l g o r i t hm s   t o   i de n t i f y   s uc da m a g i ng  bo t ne t   t r a f f i c .     W e   e xpe r i m e n t e w i t d i f f e r e n t   e ns e m bl e   a l g o r i t hm s   t o   c om pa r e   a n a na l y z e   t he i r   a b i l i t y   t o   c l a s s i f y   t he   bo t n e t   t r a f f i c   f r o m   t he   no r m a l   t r a f f i c   by   s e l e c t i ng   di s t i ng ui s h i ng   f e a t ur e s   o f   t he   ne t w o r t r a f f i c .   B o t ne t   D e t e c t i o of f e r s     a   r e l i a bl e   a nd  c he a s t y l e   f o r   e ns ur i ng   t r a ns f e r r i ng   i nt e g r i t y   a n w a r n i ng     t he   r i s ks   be f o r e   i t s   o c c ur r e nc e .   Ke y w or d s :   Bo t n e t   E n s e m b l e   M a c hi n e   l e a rni n g   N e t w o r f l ow   N e t w o r s e c ur i t y   C opy r i gh t   ©   2020   I n s t i t ut e   o f   A dv anc e E ng i ne e r i ng   and   S c i e nc e   A l l   r i gh t s   r e s e r v e d .   Cor r e s pon di n g   Au t h or :   R a dh w a n   H us s e i A b dul z hra a   A l - S a g h e e r   D e pa rt m e n t   O f   Co m put e S c i e n c e ,   F a c ul t y   O f   E duc a t i o F o G i rl s ,     U n i v e r s i t y   O f   K uf a ,   N a j a f ,   I r a q .   E m a i l :   r a d h w a n. h u @ uo kuf a . e du. i q       1.   I N TR O D U C TI O N     D a y   by   da y   t h e   de pe n de n c y   o n   t h e   Int e rn e t   ha s   i n c r e a s e i n   o ur   da i l y   l i v e s ,   m a i nl y   i n   m a n y   i m po rt a nt   f i e l ds   s uc h   a s   e duc a t i o n a l   o r ga ni z a t i o n s ,   c o m m u n i c a t i o n   c o m pa ni e s ,   go ve rn m e n t   f a c i l i t i e s ,   b a n ki ng,   a nd  e - c o m m e r c e .   T hi s   a dds   m a n y   di f f i c ul t i e s   i m a na gi ng   t h e   w e b   a n ut i l i z i ng  t h e   a pp l i c a t i o n,   f o r   e xa m pl e ,   p r o t e c t i n t h e   us e r   da t a ,   i nt e g r i t y ,   pri v a c y ,   a nd  a v a i l a b i l i t y   [1].   A l l   t h e s e   r e a s o n s   c h a nge   t h e   c o n s i de r a t i o n   o f   a t t a c ke r s   t o   t h i nki ng  a b o ut   f i n a n c i a l   a d v a n t a ge s ,   t h e   a t t a c ke r s   ut i l i z e   di v e r s e   m a l w a r e   t o   a c c o m pl i s t h e i o bj e c t i v e s .   A m o n t h e   di f f e r e n t   s o r t s   o f   m a l w a r e ,   B o t n e t   i s   o n e   o f   t h e   m o s t   ge n ui n e   w a y s   of  do i n t h e   c ri m e   o n l i n e   o n   t h e   w e b   [2].   T h e r e f o r e ,   f i na n c i a l   b e n e f i t s   a r e   t h e   m a i n   a i m   o f   ge n e ra t i ng  b o t n e t s   by   t h e   a t t a c ke r   [3] .   M c A f e e ' s   T hr e a t   R e po r t   f o r   t h e   f i r s t   qu a rt e r   o f   2019  s h o w e t h a t   t h e   n u m b e r   o f   n e w l y   di s c ov e r e m a l w a r e   t hr e a t s   ha s   a c hi e v e m o r e   t h a 60   m i l l i o t hr e a t s .   T h e   w h o l e   m a l w a r e   e s t i m a t e t o   r e a c m o r e   t h a n   80 0m i l l i o n   b e fo r e   t h e   e n o f   2018  [4].   M o r e ove r ,   t h e   s t a t i s t i c s   r e v e a l e by   C e n t u r y L i n k i n   t h e   f i r s t   ha l f   of   2019  s h o w e t h a t   t h e   a v e r a ge   n u m b e r   o f   t h r e a t s   a m o un t e t o   3. m i l l i o n   u ni que   t hr e a t s   pe r   m o n t h,   a n e xpl a i n e t ha t   t h e   t o f i ve   c o un t r i e s   s us pe c t e f o r   t h e   m ov e m e n t   o bo t n e t s   a t t a c a r e   t h e   U n i t e S t a t e s ,   S pa i n,   I n di a ,   I n do n e s i a ,   a n T u r ke y   [5].   T h i s   h uge   n u m b e r   of   m a l w a r e   t hr e a t s   c a us e by   b o t n e t s   h a v e   be e n   pl a nn e d ,   e a c h   o n e   b e c o m i n m o r e   r e s i l i e nt ,   u n s a f e ,   a n s m a r t .   F o r t u na t e l y ,   bo t n e t   de t e c t i o n   m e t h o ds   h a v e   a l s o   de v e l o pe d,   w h i c h   e m pl oy   di ffe r e n t   a pp r o a c h e s   s uc h   as   t r a f f i c   a n a l y s i s   [6 - 8],   D N S   b a s e m e t h o ds   [9]   a n m a c hi n e   l e a rni n g   s uc h   a s   de c i s i o t r e e s   [10] ,   N e ura l   N e t w o r [11 a n d   c l us t e r i n g   [12] .   T h e   b o t n e t   de t e c t i o m o de l i t hi s   s t udy   fo c us e s   o n   n e t w o r t ra f f i c   a na l y s i s   un de r   t h e   b e h a v i o c h a ra c t e ri s t i c   t h a t   i s   f l o w s   g e n e ra t e by   bo t s   b e   di ffe r e nt   f r o m   n o rm a l   f l o w s .   W i t h   t hi s   c ha ra c t e ri s t i c ,   m a c h i n e   l e a rni n ( e n s e m b l e   c l a s s i f i e r   a l go ri t hm s c a n   b e   a t t e m pt e t o   c l a s s i fy   f l ow s   de pe n di n o n   t h e i r   b e h a v i o r   w i t h   t h e   po s s i b l e   h i g h e s t   a c c ura c y .   It   i s   i m po rt a nt   t o   s e l e c t   t h e   e s s e n t i a l   f e a t u r e s   by   us i n s o m e   Evaluation Warning : The document was created with Spire.PDF for Python.
                                IS S N :   2088 - 8708   Int   J   E l e c   &   Co m E n g ,   V o l .   10 ,   N o .   3 J u n e   2 020   :     2 5 4 3   -   2 5 5 0   2544   m e t h o ds ,   s uc a s   i n f o r m a t i o n   ga i n.   T h e   p r o c e s s   of   fe a t ur e   s e l e c t i o n   c o n s e que n t l y   gua ra n t e e h i g h   a c c ura c y   a n r e duc e t r a i n i ng  t i m e   w h e n   pe r f o r m i ng,   w h i c h   i s   m e n t i o n e by   [13].   T h e   r e s ul t s   o f   t h e   de t e c t i o n   m e t h o ds   w e r e   v e r i f i e us i n CT U - 13  D a t a s e t   a n 10  f o l c r o s s   v a l i d a t i o n   w a s   a do pt e t o   e v a l ua t e   t h e   p r o po s e d     m o de l   pe r f o r m a n c e .         2.   R ELA TED   WO R K S     R e c e n t l y ,   t h e r e   ha s   b e e n   g r o w i n a t t e nt i o i s t r a t e gi e s   f o r   B o t n e t   de t e c t i o n.   W h e r e a s   i t   i s   i m po rt a nt   t o   l e a rn  h o w   a   bo t n e t   h a s   a n   i n f e c t i o n   o n   t h e   P Cs ,   i t   i s   m o r e   s e r i o us   t o   de t e r m i n e   t h e   i n f e s t e de v i c e   pr i o r   t o   i t   i s   e xpl o i t e t o   s e t   m i s c hi e vo us   a c t i o n s .   T h e r e   a r e   v a r i o us   t e c h ni que s   ha v e   be e n   i nt r o duc e t o   de t e c t   Bo t n e t s .   T h e s e   m e t h o ds   c a n   b e   c a t e go r i z e i n t o   s i g n a t u r e   b a s e d,   a n o m a l y   b a s e d,   D N S   b a s e a n da t a   m i ni n g   t e c hn i q ue s   [14].   T h e   s i g na t u r e   b a s e t e c hni que s ,   B e h a l   [14]   h a v e   pr o po s e t h e   N - ED P S   w hi c h   i s     a   s i g n a t u r e   b a s e s y s t e m   fo r   b o t n e t   de t e c t i o n   a n p r e v e n t i o n.   T hr o ug h   m o n i t o r i ng  t h e   o ut b o un t r a f f i c ,   t h e i r   s y s t e m   c o n c e n t r a t e s   o n   di s c ove r i n a nd  s t o ppi n m a l w a r e   i n f e c t i o n s   e s pe c i a l l y   b o t n e t s .   T h e y   e m pl oy e d     t h e   c urr e nt   f r e e l y   a v a i l a b l e   s o f t w a r e   w h i c i s   o pe n   s o ur c e   u s ua l l y .   F o r   de t e c t i o n,   t h e y   ut i l i z e d   Bo t H un t e r”   a n S n o r t   I n l i n e   f o r   t h e   p r e v e n t i o [6] .   By   us i n g   s e v e r a l   n e t w o r t ra f f i c   a n o m a l i e s ,   t h e   a n o m a l y   b a s e d h a s   t r i e t o   i de n t i fy   Bo t n e t .   F o r   e xa m pl e ,   hi g v o l um e s   of   t r a f f i c ,   t r a f f i c   pa s s i ng  t o   u n us ua l   po rt s ,   hi g h   n e t w o r l a t e n c y   a n a n o m a l o us   b e h a v i o r   m a y   i n di c a t e   t h e   e xi s t e n c e   of   bo t s   i n   t h e   n e t w o r [15].   T h e s e   t r e n ds   c a de t e c t   n e w   t y pe s   of  t h e   b o t .   K a r a s a r i d i s   [7]   h a v e   pr e s e n t e a n   a pp r o a c h   t o   de t e c t   IR bo t n e t   c o n t r o l l e r s   f r o m   N e t f l ow .   T h e i r   a pp r o a c h   w a s   a b l e   t o   de t e c t   t h e   b o t n e t   c o m m u n i c a t i o n s   w h i c h   a r e   e n c r y pt e d.   It   c a s uppl y   e xt ra   B o t H un t e e v i de n c e - t r a i l s   f o r   i n f e c t i o n   a c t i o n s   [7] .   A n o t h e m e t h o t o   de t e c t   Bo t n e t   h a s   b e e n   de v e l o p e by  W a ng  a n P a s c ha l i di s   i 2017 ,   t h e i r   pr o p o s e m e t h o ha s   t w o   ph a s e s ,   t h e   f i r s t   p ha s e   s ugge s t s   t w t e c h ni que s   i n   o r de r   t o   c r e a t e   t h e   e m pi ri c a l   di s t r i b ut i o n .   T h e   t w t e c h n i que s   a r e   f l ow   b a s e a ppr o a c h   a nd  g r a p h   b a s e a pp r o a c h.   T h e   f l ow   b a s e d   a pp r o a c h   i s   f o r   a pp r o xi m a t i n t h e   hi s t o gra m   o f   qua n t i z e f l ow s   a n t h e   g ra p h   b a s e a pp r o a c h   f o r   a pp r o xi m a t i n t h e   g ra de   di s t ri b ut i o n   o f   n o de   c o m m u n i c a t i o n   g ra p h s .   T h e   s e c o n p h a s e   us e s   t h e   s oc i a l   n e t w o r c o m m u n i t y   t o   de t e c t   t h e   Bo t s ,   t h i s   w a s   do n e   by   a   gra p h   t ha t   c a pt u r e s   t h e   a s s o c i a t i o n s   o f   c o n n e c t i o n s   a m o ng  n o de s   ov e r   t i m e .   T h e y   ut i l i z e r e a l - w o r l b o t n e t   t r a f f i c   i t h e   e xpe ri m e nt   w h i c h   i s   C T U - 13     da t a s e t   [8].   DNS - b a s e de t e c t i o n   t e c h ni que s   a r e   ut i l i z e D N S - r e l a t e n e t w o r t r a f f i c s   ge n e r a t e b y     t h e   b o t n e t .   T h e s e   t e c hni que s   a r e   s i m i l a t o   a n o m a l o us   de t e c t i o n   t e c hn i que s   w h e r e   s i m i l a a n o m a l y   de t e c t i o n   a l go ri t hm s   a r e   a ppl i e o n   D N S   t r a f f i c .   In   2019 ,   A l i e y a n   e t   a l .   p r o po s e d   D N S   r ul e - b a s e d e t e c t i o n   t e c h ni que   fo r   b o t n e t   de t e c t i o n.   T h e y   de f i n e s o m e   r ul e s   t o   de t e c t   IP s   t h a t   e x h i b i t i o n   a n o m a l i e s   i n   D N S   r e que s t s   a n d   DN S   r e pl i e s .   T hi s   r u l e   t e c hni que   i s   us i n t o   e n a b l e   us e r s   t o   de t e c t   t h e   e xi s t e n c e   of   i rr e gul a r   b e ha v i o r s   of  D N S   r e que s t s   a n D N S   r e pl i e s .   T h e s e   b e h a v i o r s   a r e   p r o po s e f o r   t h e   de t e c t i o n   o a n y   e xi s t e n c e   of   D N S   b a s e bo t n e t s   a n d   a n y   s o ur c e   IP   t ha t   s h o w s   s uc h   b e h a v i o urs   [9].   M i n i ng  b a s e D e t e c t i o n   t e c hn i q ue s   w h i c a r e   c o n s i de r e a s   e ff e c t i v e   t e c h ni que s   f o r   bo t n e t   de t e c t i o n .   I n   2013 ,   G a r e t   a l .   p r e s e nt e a   m e t h o f o r     t h e   de t e c t i o n   o f   P 2P   Bo t n e t s   us i n s e v e r a l   m i n i ng  a l go ri t hm s   s uc h   a s   K - n e a r e s t   n e i g h b o r,   N a ï v e   B a y e s     a n de c i s i o n   t r e e   (J 48).     T h e   a b i l i t y   of   t h e s e   a l go r i t hm s   t o   de t e c t   P 2P   n e t w o r ks   ha s   b e e n   a na l y z e a n c o m pa r e b y   us i n m a n y   of   t h e   fe a t u r e s   of   n e t w o r t ra f f i c   [16].   K - m e do i ds   a n K - m e a n s   [12]  a r e   ut i l i z e t o   de r i v e   a   s e t   of   r ul e s   t o   de c i de   w h i c h   c o n n e c t i o n s   s h o ul b e   c o n s i de r e a s   a   b ot n e t .   D a t a s e t s   w e r e   e xt r a c t e f r o m   t h e   s o ur c e s   IS O T   a n IS CX .   R e s ul t s   o n   K - m e do i ds   w e r e   be t t e r   f o r   a l m o s t   a l l   t h e s e   e xpe r i m e nt s   t h a n   K - m e a n s .     A s   a   m e t h o do l o g y ,   L i a o   [17]   us e pa c ke t   s i z e   t o   di ffe r e nt i a t e   b e t w e e n   P 2P   B o t n e t   t ra f f i c   a n n o rm a l   P 2P   t r a f f i c .   T h e y   pr o v i de t h e   f o l l ow i n o b s e r v a t i o n s .   I ni t i a l l y ,   P 2P   B o t s   a t t e m pt s   t o   upda t e   i n f o r m a t i o n   f o r   o t h e Bo t s   i n s t e a o f   r e m a i n i ng  i n a c t i v e .   N e xt ,   t h e   B o t   m a i nl y   t ra n s f e r s   da t a   w i t h   l o w e r   c o m m uni c a t i o n   r a t e .     In  o r de r   t o   c l a s s i f y   n e t w o r t ra f f i c ,   t hr e e   m e t h o ds   w e r e   us e d:   N a ï v e   B a y e s ,   B a y e s i a n e t w o r ks ,   a nd  J 48 .   H ow e ve r ,   t h e   s i z e   of   pa c ke t s   i n   P 2P   B o t n e t   w a s   fo un s m a l l   c o m pa r e w i t h   o t h e r   P 2P   a ppl i c a t i o n s   [17] .   O t h e r s   p r o po s e n e u r a l   n e t w o r ks - b a s e bo t n e t   de t e c t i o n   t e c h ni que s   t o   i de n t i fy   t h e   l e ga l   a nd  i l l e ga l   p a t t e rn s .   T hr o ug h   us i n s o m e   of   t h e   T CP - b a s e fe a t u r e s ,   a   m ul t i - l a y e r   n e ura l   n e t w o r ha v e   be e n   t ra i n e t o   de t e c t   H T T P   bo t n e t s .   T h e   r e s ul t s   s h o w e t h a t   t h i s   m e t h o i s   e f fe c t i v e   a n c a n   de t e c t   H T T P   bo t n e t s   a t   a   l o w   f a l s e   po s i t i v e   r a t e   [18].   G r a p h i c a l   T u r i ng  t e s t s   " V IS U A L CO M " ,   " IM G CO M " ,   a n " A D - IM G CO M "   ha v e   b e e n   us e i n   b ui l di n t h e   m o de l   t o   pr e v e n t   a nd  de t e c t   t h e   D D o S   a t t a c ks   i n   c l o ud  c o m put i n f r o m   a   b o t n e t .     T h i s   m o de l   i s   i m pl e m e nt e w i t h   a   que ui n g   m o de l   [ 19].       3.   BO TN ET   O V ER V I EW   Bo t n e t s   a r e   n e t w o r ks   c o m pr i s i ng  o f   a   h uge   n um b e r   o f   P Cs   i n f e c t e by   B o t s .   T h e s e   i n f e c t e P Cs ,   r e m o t e l y   c o n t r o l l e by   bo t m a s t e r s   t o   i m p l e m e nt   s pe c i f i c   m a l i c i o us   a c t i v i t i e s .   T h e   a t t a c ke r   a rra n ge s     a   c o m m uni c a t i o n   s t a t i o n   t o   di r e c t   i n s t r uc t i o n s   t o   t h e   Bo t s   a n t o   ob t a i n   r e s ul t s   f r o m   t h e m   [20].     Evaluation Warning : The document was created with Spire.PDF for Python.
Int   J   E l e c   &   Co m E n g     IS S N :   2088 - 8708       B ot n e t   d e t e c t i on   us i ng   e ns e m b l e   c l as s i f i e r s   o f   ne t w or k   f l ow   ( Z ahr aa  M .   A l g e l al )   2545   T h i s   c o m m u ni c a t i o n   c h a nn e l   i s   c a l l e t h e   c o m m a n d   a n d   c o n t r o l   (C& C)   c ha nn e l .   T h e C& i s   t h e   m a i n   f e a t u r e   t h a t   di s t i n gu i s h e s   be t w e e n   Bo t n e t   a n o t h e r   t y pe s   of   m a l w a r e   [21].   B o t n e t s   m a y   be   c a t e go r i z e b a s e o n     t h e   C& m e c h a n i s m   i n t o   t w o   m a j o r   t y pe s :   c e n t ra l i z e a n de c e n t r a l i z e C& [22].   T h e   a t t a c ke r   o bo t m a s t e r   i s   us ua l l y   us e t h e   C& s e r v e r   t o   di r e c t   a   c o m m a n t o   t h e   b o t s   i n   c e n t r a l i z e b o t n e t s   a s   i l l us t ra t e i n   F i gu r e   1 ( a ) .   D ue   t o   i t s   u n c o m pl i c a t e d n e s s ,   t h e   c e n t ra l i z e b o t n e t   i s   w i de l y   us e v i a   n u m e r o us   bo t n e t   gr o ups .   T h e   IR C - b a s e b o t n e t s   a n d   H T T P   B o t n e t   a r e   c o n s i de r e a m o n g   t h e   m o s t   f a m o us   o f   bo t n e t   a pp r o a c h e s .   H ow e ve r ,   t h e   s i ngl e   po i nt   of   f a i l u r e   C& s e r v e r   i n   c e n t ra l i z e B o t n e t   i s   t h e   m a j o r   p r o b l e m   i n   i t .   A   s h ut do w n   of   t h e   C& s e r v e r   m i g ht   r e s ul t   i n   a   l a c of   c o m m u n i c a t i o n   a m o n t h e   b o t s   a n d     t h e   b o t m a s t e [23] .   T h e   n e xt   ge n e ra t i o n   o f   b o t n e t s ,   a t t a c ke r s   ha v e   s t a r t e t o   s t r uc t u r e   B o t n e t s   b a s e o   a   de c e n t ra l i z e a r c hi t e c t u r e ,   s uc h   a s ,   t h e   P e e r - to - P e e r   b o t n e t   [ 24]  w hi c i t   a do pt e v i a   m a n y   fo r m s   o   t h e   bo t n e t ,   f o r   e xa m pl e ,   W a l e da c ,   S t o r m ,   a n Co n f i c ke r   [ 25].   P e e r - to - P e e r   bo t n e t   i s   a   f o r m   t ha t   a do pt e   a   de c e n t r a l i z e a r c h i t e c t u r e   t o   a v o i h a v i n a n y   s i n gl e   po i n t   o f   f a i l ur e .   I n   P 2P b o t n e t   a s   i l l us t ra t e i   F i gu r e   1 ( b ) ,   t h e r e   i s   n o   c e n t ra l   s e r v e r ,   a nd  b o t s   a r e   l i n ke t o   e a c h   o t h e r   t o po l o gi c a l l y   a n a c t   a s   a   bo t   (c l i e n t )   a n C& (s e r v e r a t   t h e   s a m e   t i m e .   F o t hi s   s i t ua t i o n,   t h e   bo t m a s t e r   c a n   di r e c t   i n s t r uc t i o n s   t o   t h e   i n f e c t e d   pe e r s   t o   i m pl e m e nt   a n y   o r de r   o r   r e que s t i ng  i n f o r m a t i o n   a t   a ny   t i m e   [26].           F i gu r e   1 .   S t ruc t u r e s   o f   bo t e n t       4.   EN S EM B LER   C L A S S IF IE R   F R A M E WO R K   E n s e m b l e   m e t h o c o n s t r uc t s   a   s e t   o c l a s s i f i e r s   (b a s e   l e a r n e r s f r o m   t r a i ni n da t a   a n c o m b i n e s   t h e m   t o   c l a s s i fy   n e w   da t a   e xa m pl e s   by   t a ki n a   v o t e   (t y pi c a l l y   by   w e i gh t e o r   u n - w e i gh t e d)  o f   t h e i   de c i s i o n s   [27].   T h e   m a i n   i de a   b e h i nd  t h e   e n s e m b l e   l e a rn i ng  i s   t o   e m pl o y   s e v e r a l   i n di v i du a l   c l a s s i f i e r s   a n d   c o m b i n e   t h e i p r e di c t i o n s   t o   o b t a i n   a   c l a s s i f i e r   t ha t   c a w o r b e t t e r   t ha n   e a c h   o f   t h e m   [28] .   I t hi s   r e s e a r c h,   t h e   m o s t   t hr e e   c o m m o n   e n s e m b l e   a pp r o a c h e s :   B a gg i n g ,   B oo s t i n g   a n d   r a ndo m   f o r e s t   m e t h o ds   ha v e   b e e n   us e d,   a s   s h o w n   i F i gu r e   [ 29].     4. 1 .     B agg i n g   B a ggi n o b oo t s t ra a gg r e ga t i n g   i s   a   m e t h o t o   ge t   m ul t i pl e   l e a rn e r s ,   w h e r e   t h e   t r a i n i ng  d a t a   s e t   f o r   e a c h   l e a rn e r   i s   p r o duc e by   r a n do m   u ni f o r m l y   s a m pl i n g   w i t h   r e p l a c e m e n t   f r o m   t h e   o r i g i n a l   da t a   s e t   [30] .   B a ggi n i s   c o n s i s t s   o t w pa rt s :   b oo t s t r a a n a gg r e ga t i o n.   A   s i gni f i c a n t   r e duc t i o n   i n   e rr o r   c o ul pr o duc e   w h e n   t h e   c o m b i n a t i o n   o f   i nde pe n de n t   b a s e   l e a rn e r s   ha ppe n s ,   t hus ,   i t   i s   e s s e n t i a l   t o   ke e t h e   b a s e   l e a rn e i n de pe n de n t   a s   po s s i b l e .   T h e   boo t s t ra di s t ri b ut i o n   i s   ut i l i z e v i a   t h e   b a ggi n t e c hni que   t o   ge n e r a t e   di v e r s e   b a s e   l e a rn e r s .   U s i n r a ndo m   s a m p l i ng  a n r e pl a c e m e nt ,   t h e   b a ggi n m e t h o p r o duc e s   bo o t s t r a s a m pl i n o t h e   t ra i ni n d a t a ,   i t   i m p l e m e n t e b oo t s t r a s a m p l i n [31 t o   ge n e ra t e   da t a   s ub s e t s   t o   t r a i n   t h e   b a s e   l e a rn e r s .   M o r e ov e r ,   s e v e r a l   r e pe a t s   o f   t h e   o r i g i n a l   da t a s e t   a r e   f orm e t hr o ug h   ut i l i z i ng  r a ndo m   s e l e c t i o n   w i t r e pl a c e m e n t .   N e xt ,   e v e r y   da t a s e t   i s   ut i l i z e t o   fo r m   a   n e w   l e a rn e r   a nd  t h e   f o r m e s e t   of   l e a rn e r s   i s   us e t c o n s t r uc t   a n   e n s e m b l e .   F o r   a gg r e g a t i ng  t h e   o ut put s   o f   t h e   b a s e   l e a r n e r s ,   b a ggi n ut i l i z e s   o n e   of   t h e   m o s t   c o m m o n   m e t h o do l o gi e s   fo r   c l a s s i f i c a t i o n,   w h i c h   i s   v o t i n w h i l e   i t   us e s   a n   a v e ra gi n a pp r o a c h   t o   de a l i n g   w i t t h e   r e g r e s s i o p r o b l e m .     Evaluation Warning : The document was created with Spire.PDF for Python.
                                IS S N :   2088 - 8708   Int   J   E l e c   &   Co m E n g ,   V o l .   10 ,   N o .   3 J u n e   2 020   :     2 5 4 3   -   2 5 5 0   2546   4 .2 .     B o o s ti n g   Bo os t i ng  t e c hn i que   a l s o   c a l l e A R Ci n A da pt i v e   R e s a m pl i n g   a nd  Co m b i ni n g   [28].   I t   i s   r e l a t e t o   t h e   a l go ri t hm s   t ha t   c a n   c o n v e r t   w e a l e a rn e r s   t o   s t r o n l e a rn e r s .   G e n e ra l l y ,   w e   c a n   b e   de f i n e a s   t h e   w e a l e a rn e r   a s   t h e   l e a rn e r   w h i c h   i s   s l i g h t l y   be t t e r   t h a n   t h e   r a nd o m   gue s s .   O pp o s i t e l y ,   t h e   s t r o n l e a rn e r   i s   v e r y   c l o s e   t a   pe r f e c t   r e s ul t .   B oo s t i n i s   a   c o m m o n   m e t h o ut i l i z e t o   i m p r o v e   l e a rn i n m e t h o pe r f o r m a n c e .   T h e   c o n c e pt   b e h i n b oo s t i n i s   t ha t   a   w e a l e a rn e r   c a n   b e   boo s t e t a   s t r o ng  l e a rn e r   S c ha pi r e   [32]  p r o po s e d   t h e   boo s t i n t e c hni que   f o r   t ha t   pu r po s e .   Bo o s t i n i s   c o n s i de r   a s   a n   a dv a n c i ng  a dd i t i v e   m o de l   a n i t   ut i l i z e s   t h e   w h o l e   da t a s e t   f o r   e a c h   s t a ge .   T hi s   t e c hni que   m e r ge s   t h e   o ut put s   f r o m   v a ri o us   c l a s s i f i e r s   w i t h   t h e   a i m   of  pr o duc e   a e ff e c t i v e   c l a s s i f i e r   [33] .     4. 3   R an d o m   fo r e s t   T h e   r a ndo m   f o r e s t   b e l o n gs   t o   t h e   f a m i l y   of   e n s e m b l e   a ppr o a c h e s .   It   g r o w s   m a n y   de c i s i o n   t r e e s   b y   ut i l i z i n ra n do m l y   pa r t i t i o n i n g   t h e   t ra i ni n da t a   a n f e a t u r e s ,   w h e r e   e a c h   t r e e   i s   b ui l t   de pe n ds   o n   t h e   v a l ue s   of   a i nde pe n de n t   s e t   o f   r a ndo m   v e c t o r s   of   t h e   t ra i ni n da t a s e t .   T h e s e   ra n do m   v e c t o r s   p r o duc e f r o m   a   f i xe pr o b a b i l i t y   di s t r i b ut i o n   s i n c e   t h e   pr o b a b i l i t y   di s t ri b ut i o n   i s   di v e r s e   t o   c o n c e n t r a t e   o n   i n s t a n c e s ,   w h i c h   ha s   di f f i c ul t i e s   t o   c l a s s i fy   [34].   T h e   r a n do m i z a t i o n   a i ds   i r e duc i ng  t h e   c o rr e l a t i o n   a m o n de c i s i o n   t r e e s   t imp r o v e   t h e   ge n e r a l i z a t i o e rr o o f   t h e   e n s e m b l e   [30] .                                                   ( a )   ( b )                 ( c )     F i gu r e   2 .   S h o w s   t h e   b a s i c   w o r kf l ow   fo r   ( a B o o s t i n g,   (b )   B a ggi n g ,   a n d   (c R a n do m   f o r e s t       5.   P R O P O S ED   M O D EL   T h e   p r o po s e s y s t e m   fo r   t h e   B o t n e t s   de t e c t i o n ,   t h e   c l a s s i f i c a t i o n   o f   n e t w o r t r a f f i c   i s   a c h i e v e b y   a ppl y i n g   t hr e e   d i f fe r e nt   E n s e m b l e   c l a s s i f i e r   a l go r i t h m s :   B a ggi n g ,   B o o s t i n a n d   R a ndo m   F o r e s t .   T h e   r e s ul t s   of   t h e   de t e c t i o n   m e t h o ds   w e r e   ve r i f i e us i n CT U - 13  D a t a s e t   a n 10   f o l c r o s s   v a l i d a t i o n   w a s   a do pt e t o   e v a l ua t e   t h e   p r o po s e m o de l   pe r f o r m a n c e .   T h e   f r a m e w o r o o ur  s y s t e m   i s   de s c ri b e i n   F i gu r e   3 .           F i gu r e   3 .   T h e   p r o po s e f r a m e w o r f o r   b o t n e t   de t e c t i o n     Evaluation Warning : The document was created with Spire.PDF for Python.
Int   J   E l e c   &   Co m E n g     IS S N :   2088 - 8708       B ot n e t   d e t e c t i on   us i ng   e ns e m b l e   c l as s i f i e r s   o f   ne t w or k   f l ow   ( Z ahr aa  M .   A l g e l al )   2547   5. 1 .     D atas e t   T h e   CT U - 13  d a t a s e t   [3 5]  i s   o n e   o f   t h e   l a rge s t   N e t F l o w   da t a s e t s   a v a i l a b l e   t ha t   c o n t a i n s   b o t n e t     t r a f f i c   a s   w e l l   a s   n o r m a l   a n d   b a c kgr o u n l a b e l e da t a .   T he s e   da t a   w e r e   c o l l e c t e by   t h e   Cz e c h   T e c hni c a l   U n i v e r s i t y   (CT U ),   2011.   T h e   C T U - 13  da t a s e t   h a s   13  da t a s e t s   (c a l l e s c e n a ri o s of   di ff e r e n t   b o t n e t   s a m pl e s .     In   a ddi t i o n   t o   t ha t ,   e a c h   o f   t h e s e   s c e n a ri o s   h a s   b e e n   r e c o r de i n   a   s e pa ra t e   f i l e   a s   a   N e t F l ow   w h i c h   us i n g   CS V   n o t a t i o n.   T h e s e   N e t F l ow   f i l e s   i n c l ude   t h e   f o l l ow i n a t t ri b ut e s :   S t a r t   T i m e ,   D u r a t i o n ,   S o ur c e   IP   a ddr e s s ,   S o ur c e   P o r t ,   D i r e c t i o n ,   D e s t i n a t i o n   IP   a dd r e s s ,   D e s t i na t i o P o r t ,   P r o t o c o l   S t a t e   (e . g. ,   U T P ,   T CP ) ,     S T o S   (T y p e   O f   S e r v i c e ),   T o t a l   P a c ke t s   (e xc h a nge b e t w e e n   s o ur c e   a n d   de s t i na t i o n ),   T o t a l   By t e s ,   a nd  L a b e l   (e . g. ,   b a c kg r o un d ,   n o rm a l ,   a nd  b o t n e t ) .     5 . 2 .     F e atu r e   s e l e c t i o n   In  t h e   B o t n e t   de t e c t i o n   t e c hni que ,   o n e   o f   t h e   e s s e n t i a l   p a r t s   i s   f e a t ur e   e xt ra c t i o n.   B y   e xpe r i m e n t i n g   n o t   a l l   f e a t u r e s   ha v e   s i m i l a r l y   c o n t r i b ut e t o   t h e   r e s ul t ,   s o m e   o f   t h e m   a r e   s i g n i f i c a n t   a n pe r t i n e n t   t h a   t h e   o t h e r   t o   t h e   l e a rni n a n d   a na l y s i s   pr o c e s s .   T h e   r e du n d a n c y   of   fe a t u r e s   m a y   c a us e   a   r e duc t i o i   t h e   a c c u r a c y ,   t o   ra n k   t h e   f e a t u r e s   i t h i s   pa pe r,   t h e   i n f o rm a t i o n   g a i (1)   m e a s u r e   h a s   b e e n   us e [36] .     IG ( A ) = H ( S ) S t S t H ( S i )     (1)   w h e r e   H (S i s   t h e   e nt r o p y   of   t h e   gi v e n   a   t ra i n i n g   s e t   S   a n d   H (S i i s   t h e   t h e   e nt r o p y   of   t h e   i t s ub s e t   of   t h e   t ra i ni n s e t   S i n c e   t h e   a t t ri b ut e   A   i s   ob s e r v e d.   T h e   ga i n e i n f o r m a t i o n   i s   ut i l i z e t o   a s s i s t   i n   r a nki ng    t h e   a t t r i b ut e   i m a c h i n e   l e a rn i ng  a n t h e   a t t ri b ut e   w i t t h e   hi g h   IG   i s   ra n ke hi g h e r   t h a t h e   o t h e r   a t t ri b ut e s   b e c a us e   i t   h a s   a   s t r o n ge r   po w e r   i n   c l a s s i fy i n t h e   da t a .   F i gur e s   4   s h o w   t h a t   t h e   c l a s s i f i c a t i o n   o t h e   (12)  a t t ri b ut e s   of  t h e   CT U - 13  da t a s e t   s o r t e d   i n   de s c e n di n o r de r   by   i n f o r m a t i o n   ga i n.   A f t e r   ra n ki ng  t h e   a t t ri b ut e s   us i n i n f o r m a t i o n   g a i t h e   b e s t   o n e s   a r e   s e l e c t e T h e r e f o r e   t h e   t o 8   a t t r i b ut e s   b a s e o n   t h e i i m po rt a n c e   v a l ue   a r e   c o n s i de r e i t hi s   w o r k .   T h e   s e l e c t e a t t r i b ut e s   a r e :   <   S o ur c e   IP ,   D e s t i na t i o n   IP ,   S t a r t   T i m e ,   dura t i o n,   IP   p r o t o c o l ,   p r o t o c o l   s t a t e ,   t h e   t o t a l   n u m b e r   o f   pa c k e t s   a n d   t o t a l   b y t e s   e xc h a n ge d> .             F i gu r e   4 .   T h e   i n f o rm a t i o g a i f o r   e a c a t t ri b ut e   (A   b a s e - 10  l o s c a l e   i s   us e f o r   t h e   Y   a xi s )       5. 3 .     D e t e c t i o n   m e th o d s   T h e   r e s e a r c h   i nt r o duc e s   t hr e e   E n s e m b l e   m e t h o ds   t i de n t i f y   be t w e e n   bo t n e t   a nd  n o r m a l   t ra f f i c   b c l a s s i fy i n t h e   c o r r e s po n d i n g   f l ow s .   W e   ha v e   us e b a ggi n g ,   A d a B oo s t ,   R a ndo m   F o r e s t   m e t h o o   t h e   e n s e m b l e - b a s e c l a s s i f i e r .   T h e   m a c h i n e   l e a rn i ng  a l go r i t hm s   l i ke   J R i p,   N a ï v e   B a y e s   a n R E P T r e e   h a v e   b e e n   de pl o y e a s   a   b a s e   c l a s s i f i e o e n s e m b l e   m e t h o ds .       J R i p:   T h i s   c l a s s   a pp l i e s   a   r ul e - s ugge s t i o n   l e a rn e r ,   R e pe a t e In c r e m e n t a l   P r u ni n t o   P r o duc e   E rr o R e duc t i o n   (R IP P E R ).     N a ï v e   B a y e s :   It   de pe n ds   o n   w ha t   i s   c a l l e t h e   B a y e s i a n   t h e o re m ,   It ' s   pa rt i c u l a rl y   a ppr o pri a t e   i f   t h e   i n pu t   di m e n s i o n s   a r e   h i g h.       R E P T r e e :   R e duc e E rr o r   P r u n i ng  T r e e   (R E P T )”   B ui l ds   a   de c i s i o n   t r e e   us i n i n f o rm a t i o n   g a i a s     t h e   pa rt i t i o n i n g   c r i t e r i o n   a n d   p r u n e s   i t   us i n g   r e duc e e rr o r .     Evaluation Warning : The document was created with Spire.PDF for Python.
                                IS S N :   2088 - 8708   Int   J   E l e c   &   Co m E n g ,   V o l .   10 ,   N o .   3 J u n e   2 020   :     2 5 4 3   -   2 5 5 0   2548   6.   EX P ER I M EN TA R ES U L TS   In   o ur  e xpe ri m e n t s ,   w e   ha v e   us e CT U   B o t n e t   D a t a s e t   ( S c e na r i o   11) w hi c a l r e a dy   c o n t a i n s   l a b e l e b i di r e c t i o n a l   n e t   f l o w s ,   T h e   s e l e c t e a t t r i b ut e s   by   i n f o r m a t i o ga i n   a r e :   S o ur c e   IP ,   D e s t i n a t i o IP ,   S t a rt   T i m e ,   dura t i o n,   IP   p r o t o c o l ,   pr o t o c o l   s t a t e ,   t h e   t o t a l   num b e r   o f   pa c ke t s   a n t o t a l   by t e s   e x c h a n ge d,   a s   s h o w n   i n   F i gu r e   4.   A   d a t a   m i n i ng  s o f t w a r e   c a l l e W E K A   ha s   b e e n   us e t o   a ppl y   e n s e m b l e   a l go ri t hm s   t o   t hi s   d a t a s e t .   W E K A   i s   a   g r o up  o f   m a c h i n e   l e a rni n a l go r i t h m s   f o r   s o l v i n da t a   m i ni n t a s ks .   T h e   a l go r i t hm s   c a n   e i t h e r   di r e c t l y   a ppl i e by   us i ng  G U o r   c a l l e f r o m   J a v a   c o de .   B e c a us e   t h e   s i z e   o f   t h e   do w n l o a de d a t a   i s   t o o   l a r ge   t o   b e   pr o c e s s e by   t h e   a v a i l a b l e   P m a c hi n e s ,   s o   t o   de a l   w i t h   t hi s   pr o b l e m   a   s m a l l   pa r t   o f   t h e   da t a   w a s   ra n do m l y   s e l e c t e t ha t   c a n   b e   h a n dl e b y   t h e   a v a i l a b l e   de v i c e s .   T h i s   s a m pl e   o f   da t a   w a s   e nt i r e l y   r a ndo m   s e l e c t e t o   gua r a nt e e   t h a t   t h e   r e s ul t s   o f   t h e   a na l y s i s   s t a y   un b i a s e by   t h e   s e l e c t i v e   pr o c e s s .   F i v e   di ffe r e nt   m e a s u r e s   w e r e   ut i l i z e t o   e v a l ua t e   t h e   pe r f o rm a n c e   o f   t h e   pr o po s e m e t h o d ,   t h o s e   m e a s u r e s   a r e   A c c ur a c y ,   F a l s e   P o s i t i v e   R a t e ,   P r e c i s i o n,   R e c a l l ,   a n F - m e a s u r e .   T h e   t e n - f o l c r o s s - v a l i da t i o n   t e c hn i q ue   w a s   a do pt e t o   e s t i m a t e   t h e   a c c u r a c y   of   t h e   p r o po s e m e t h o w h e r e   t h e   da t a s e t   i s   s p l i t   a t   ra n do m   m a nn e r   i nt o   s i m i l a r l y   e xc l us i ve   a n e qua l - s i z e s ub s e t s .   A l s o ,   t h e   c r o s s - v a l i da t i o n   m e t h o gua r a nt e e s   t ha t   e ve r y   pa rt   o f   t h e   b a s i c   da t a s e t   i s   u t i l i z e i n   a   s i m i l a r   n u m b e r   o f   t i m e s   i n   t r a i n i ng  a nd  t e s t i ng.   T h e   ge n e ra t e r e s ul t s   us i n ge n s e m b l e   m e t h o ds   w i t h   t h e   t hr e e   d i f fe r e nt   c l a s s i f i c a t i o n   s c h e m e s   ( J R i p,   N a ï v e   B a y e s   a n R E P T r e e   a s   a   b a s e   c l a s s i f i e r )   a r e   gi v e i T a b l e   1.       T a b l e   1 .   P e r f o r m a n c e   c o m pa r i s o t a b l e   o f   c l a s s i f i e r s   M e t h o d s   A c c u ra c y %   FPR   P re c i s i o n   Re c a l l   F - m e a s u r e   A d a Bo o s t   J Ri p   9 9 . 8 4   0 . 0 0 2   0 . 9 9 8   0 . 9 9 8   0 . 9 9 8   N a ï v e   Ba y e s   9 8 . 1 2   0 . 0 3 8   0 . 9 8 2   0 . 9 8 1   0 . 9 8 1   RE P T re e   8 5 . 4 8   0 . 3 0 7   0. 88   0. 855   0. 841   Ba g g i n g   J Ri p   9 9 . 8 4   0 . 0 0 2   0 . 9 9 8   0 . 9 9 8   0 . 9 9 8   N a ï v e   Ba y e s   9 9 . 1   0 . 0 1 8   0 . 9 9 1   0 . 9 9 1   0 . 9 9 1   RE P T re e   8 5 . 4 8   0 . 3 0 7   0. 88   0. 855   0. 841   Ra n d o m   F o re s t   9 5 . 1 1   0 . 1 0 3   0 . 9 5 4   0 . 9 5 1   0 . 9 5       T a b l e   pr e s e nt   t h e   c o m pa r i s o n   o f   e n s e m b l e   a l go r i t hm s   o v e r   t h e   10  f o l c r o s s - v a l i da t i o n   c o n c e rn i ng  di f fe r e nt   c o m pa r i s o n   m e a s u r e s .   J R i c l a s s i f i e r   a c hi e v e s   t h e   hi g h e s t   c l a s s i f i c a t i o n   a c c u r a c y   (99. 84%)  i n   b o t A da B oo s t   a nd  B a gg i n c o m pa r e d   w i t h   t h e   a c c ura c y   of   N a ï v e   B a y e s   (98. 12%)  a n d   R E P T r e e   ( 85 . 48%)   i A da B oo s t   a n w i t h   t h e   a c c ura c y   of   N a ï v e   B a y e s   (99. 1%)  a n R E P T r e e   ( 85. 48% i n   B a ggi n g .   F u r t h e r m o r e ,   T a b l e   c a n   c o n c l ude   t h e   J R i c l a s s i f i e r   g i v e s   t h e   l o w e r   f a l s e   po s i t i v e   r a t e   (0 . 002)  i n   b o t h   A da B o os t   a n B a ggi n a nd  t h e   h i g h e s t   f a l s e   po s i t i v e   r a t e   f r o m   R E P T r e e   (0. 307 a n i t   ha s   a   l o w   a c c ur a c y   t o o .   R a n do m   F o r e s t   a l s o   a c h i e v e s   h i g h   de t e c t i o n   a c c ura c y   (95. 11%)  a n a   l o w   f a l s e   po s i t i ve   r a t e   (0. 103 ).   T h e   E n s e m b l e   w i t h   J R i Cl a s s i f i e r s   m o de l   h a s   b e e n   c o m pa r e d   w i t h   f i v e   di f fe r e nt   m e t h o ds   w h i c h   a r e   c l us t e r i ng,   N e u r a l   N e t w o r k,   R e c ur r e n t   N e u r a l   N e t w o r [37 ,   38 ] ,   K - m e do i ds ,   K - m e a n s   [12] ,   L o n S h o rt - T e rm   M e m o r y   (L S T M )   [11],   a n dde c i s i o n   t r e e s   [10] .   T h e   c o m pa ra t i v e   of   r e s ul t s   i n   T a b l e   s h o w   t h a t   o ur   p r o po s a l   E n s e m b l e   w i t J R i Cl a s s i f i e r s   m o de l   a c h i e v e s   b e t t e r   de t e c t i o a c c u r a c y t h a t h e   e xi s t i ng  s y s t e m s   fo r   b o t n e t   de t e c t i o n .       T a b l e   2 .   A   c o m pa r i s o o f   t h e   p r o po s e m o de l   w i t h   o t h e r   a l g o r i t hm s   A u t h o r   D a t a   s e t   M e t h o d s   A c c u ra c y   ( %)   Ba n s a l   a n d   M a h a p a t ra [3 7 ]   IS C X   &   CT U - 13   Cl u s t e r i n g   9 8 . 3 9   N e u ra l   N e t w o rk   8 9 . 3 8   Re c u rre n t   N e u ra l   N e t w o rk   8 3 . 0 9   A l e j a n d re   e t   a l .   [1 2 ]   IS O T &   IS C X .   K - m e d o i d s   6 9 . 9 9   a n d   K - m e a n s   7 3 . 3 7   S i n h a   K .   [1 1 ]   CT U - 13   L o n g   S h o rt - T e r m   M e m o ry   (L S T M )   9 6 . 2 %   K h a n   R.   e t   a l   [1 0 ]   IS O T   &   CT U - 13   d e c i s i o n   t r e e s   9 8 . 7 % .   P ro p o s e d   m o d e l   (E n s e m b l e   Cl a s s i fi e r s )   CT U - 13   (S c e n a ri o   1 1 )   A d a Bo o s t +   J Ri p   Ba g g i n g +   J R i p   9 9 . 8 4       7.   C O N C LU S I O N   In   t hi s   pa pe r ,   w e   h a v e   pr e s e n t e a n   a pp r o a c h   t o   de a l   w i t h   bo t n e t   de t e c t i o n   p r o b l e m ,   w h i c h   i s   c o n s i de r e a s   a   s e ri o us   a nd  c ri t i c a l   t hr e a t   o f   i n t e rn e t   s e c uri t y .   O n e   a pp r o a c h   t o   h a ndl e   t hi s   p r o b l e m   i s   b y   r e c o gn i z i n g   b o t n e t   a c t i o n s   a nd  i n f e c t e de v i c e s   t o   pr ov i de   v i t a l   s a f e t y   m e a s ur e s .   T h e   p r o po s e m o de l   w a s   Evaluation Warning : The document was created with Spire.PDF for Python.
Int   J   E l e c   &   Co m E n g     IS S N :   2088 - 8708       B ot n e t   d e t e c t i on   us i ng   e ns e m b l e   c l as s i f i e r s   o f   ne t w or k   f l ow   ( Z ahr aa  M .   A l g e l al )   2549   b a s e o n   e n s e m b l e   c l a s s i f i e r s   m e t h o ds   w h i c h   a r e   pe r f o r m i ng  b e t t e r   pe r f o r m a n c e   t hr o ug h   c o m b i n i ng  m ul t i p l e   a l go r i t h m s   i n   t h e   p r o c e s s   of   bo t n e t   a na l y s i s .   A l s o ,   t hr o ug h   t h e   f e a t u r e   s e l e c t i o n   p r o c e s s ,   t h e   m o s t   s i g n i f i c a n t   f e a t u r e s   w e r e   e xt ra c t e fo r   t h e   a na l y s i s   pr o c e s s   t o   i n c r e a s e   t h e   a c c ura c y   a n de c r e a s e   t h e   t i m e   a s   w e l l   a s   r e s o ur c e s .   T o   e v a l ua t e   t hi s   p r o po s e m e t h o do l o g y ,   w e   h a v e   pe r f o r m e e xpe ri m e n t a l   a s s e s s m e n t s   o n   t h e   CT U   bo t n e t   da t a s e t   a n t h e   pe r f o r m a n c e   of   t h e   pr o po s e m o de l   w a s   a s s e s s e ut i l i z i n 10  f o l c r o s s - v a l i da t i o n.   T h e   r e s ul t s   s h o w e t ha t   t h e   p r o po s e m o de l   w a s   e ffe c t i ve   a n ha s   p r o m i s i n g   r e s ul t s .       R EF ER EN C ES   [ 1]   S t e v a no v i c   M ,   R e v s be c K ,   P e de r s e J M ,   S ha r R ,   J e ns e C D ,   " A   c o l l a bo r a t i v e   a p pr o a c t o   bo t ne t   pr o t e c t i o n , "     I n:   I nt e r n at i on al   C o nf e r e nc e   on  A v a i l a bi l i t y ,   R e l i ab i l i t y ,   a nd  Se c ur i t y .   Sp r i nge r ,   B e r l i n ,   H e i de l be r g ,     pp.   62 4 - 6 38,   2 012 .   [ 2]   S i l v a   S S C ,   S i l v a   R M P ,   P i nt o   R C G ,   S a l l e s   R M ,   " B o t ne t s :   A   s ur v e y ,"   C om put er   N e t w or k s ,   v o l .   57 ( 2 )   pp.   37 8 - 403,   2 013 .   [ 3]   R o dr í g ue z - G óm e z   R A ,   M a c i á - F e r n de z   G ,   G a r c í a - T e o do r o   P ,   " S ur v e y   a nd  t a xo no m y   o f   b o t ne t   r e s e a r c t h r o ug h   l i f e - c y c l e ,"   A C M   C om p ut i ng   Su r v e y s   ( C SU R ) ,   v o l .   45 ( 4 ) ,   pp .   45 ,   20 13 .   [ 4]   M c A f e e ,   " M c A f e e   l a bs   t hr e a t s   r e po r t , "   201 9 .   [ O nl i n e ] ,   A v a i l a b l e   f r o m :   ht t ps : / / w w w . m c a f e e . c o m / e n t e r pr i s e / e n - us / a s s e t s / r e po r t s / r p - qua r t e r l y - t hr e a t s - m a r - 2019 . pdf .   [ A c c e s s e d   201 9   S e p   1 4] .   [ 5]   C e nt u r y L i nk  ( N Y S E :   C T L ) ,   " C e nt ur y   L i nk  2019  T h r e a t   R e po r t , "   2019 .   [ O nl i n e ] ,   A v a i l a bl e :   ht t ps : / / w w w . c e n t u r y l i nk. c o m / a s s e t / bu s i ne s s / e n t e r pr i s e / r e po r t / 2 019 ,   2010 t hr e a t - r e s e a r c h - r e po r t . pdf .   [ A c c e s s e 14   S e pt e m be r   2019] .   [ 6]   B e ha l   S ,   B r a r   A S ,   K um a r   K . ,   " S i g na t ur e - ba s e bo t n e t   de t e c t i o a n pr e v e n t i o n ,"   I n :   P r oc e e di ngs   of   I n t e r nat i o nal   Sy m pos i um   on   C om p ut e r   E ng i ne e r i ng   an T e c h nol ogy ,   pp .   127 - 1 32 ,   2010 .   [ 7]   K a r a s a r i d i s   A . ,   R e x r o a B . ,   H o e f l i D .,   " W i de - s c a l e   bo t ne t   d e t e c t i o a nd  c ha r a c t e r i z a t i o n ,"   In   P r oc e e di ngs   o f   t he   f i r s t   c on f e r e nc e   on  F i r s t   W or k s hop   on   H o t   T op i c s   i U nde r s t and i ng   B o t ne t s ,   p p .   7 ,   200 7 .   [ 8]   W a ng   J . ,   P a s c ha l i d i s   I C . ,   " B o t ne t   de t e c t i o ba s e d   o a no m a l y   a nd  c o m m uni t y   de t e c t i o n ,"   I E E E   T r an s   C ont r o l   N e t w   Sy s t v o l .   4 ( 2) ,   pp .   392 - 404 ,   201 7 .   [ 9]   A l i e y a K ,   A l m o m a ni   A ,   A nba r   M ,   A bdul l a R ,   G up t a   B   B .,   " D N S   r ul e - ba s e s c he m a   t o   bo t ne t   d e t e c t i o n ,"   E nt e r pr i s e   I n f or m at i on   Sy s t e m s ,   T a y l o r   &   F r a nc i s ,   pp .   1 - 20 201 9 .   [ 10]   K ha R   U ,   Z ha ng   X ,   K um a r   R ,   S h a r i f   A . ,   " A A da pt i v e   M ul t i - L a y e r   B o t ne t   D e t e c t i o T e c hn i qu e   U s i ng   M a c hi n e   L e a r ni ng   C l a s s i f i e r s ,"   A p pl i e S c i e nc e s v o l .   9( 11) ,   pp .   2375 ,   201 9 .   [ 11]   S i nh a   K ,   V i s w a na t h a A ,   B un J. ,   " T r a c k i ng   T e m po r a l   E v o l ut i o o f   N e t w o r A c t i v i t y   f o r   B o t ne t   D e t e c t i o n ,"   ar X i v   pr e pr i nt   ar X i v 190 8 . 0 3443 201 9 .   [ 12]   A l e j a nd r e   F   V ,   C o r t é s   N   C ,   A na y a ,   E   A .,   " B o t ne t   de t e c t i o us i ng   c l us t e r i ng   a l g o r i t hm s , "   R e s e ar c i C om put i ng   Sc i e nc e ,   v o l .   1 18 p p.   65 - 75 .   201 6   [ 13]   O m a r a   H ,   L a z a a r   M ,   T a b i i   Y . ,   " E f f e c t   of   f e a t ur e   s e l e c t i o o g e ne   e xp r e s s i o da t a s e t s   c l a s s i f i c a t i o a c c ur a c y ,"   I nt e r n at i on al   J o ur n al   o f   E l e c t r i c al   a nd   C om pu t e r   E n gi ne e r i n g   ( I J E C E ) v o l .   8 ( 5 ) ,   pp .   31 94 - 3203 ,   201 8 .   [ 14]   F e i l y   M ,   S ha h r e s t a ni   A ,   R a m a da s s   S . ,   " A   s ur v e y   of   bo t ne t   a n bo t ne t   de t e c t i o n ,"   I 2 009  T hi r I nt e r n at i on al   C onf e r e nc e   on   E m e r g i ng   Se c ur i t y   I n f or m at i on ,   Sy s t e m s   and   T e c hn o l og i e s ,   I E E E ,   pp .   268 - 2 7 3,   20 09.   [ 15]   Z e i d a nl o o   H R ,   S ho o s ht a r i   M J Z ,   A m o l i   P V ,   S a f a r i   M ,   Z a m a ni   M . ,   " A   t a xo no m y   o f   b o t ne t   d e t e c t i o t e c hn i qu e s ,"     In   C om pu t e r   S c i e nc e   a nd   I n f o r m at i on   T e c hn ol ogy   ( I C C S I T ) ,   I E E E pp.   15 8 - 1 62,   2 010 .   [ 16]   G a r g   S ,   S i ng A K ,   S a r j e   A K ,   P e ddo j S K . ,   " B e ha v i o ur   a n a l y s i s   o f   m a c hi ne   l e a r ni ng   a l g o r i t hm s   f o r   de t e c t i ng   P 2P   bo t ne t s ,"   I A dv an c e c om put i n t e c hno l og i e s   ( I C A C T ) ,   I E E E pp .   1 - 4,   2013 .   [ 17]   L i a o   W - H ,   C ha ng   C - C. ,   " P e e r   t o   pe e r   bo t ne t   d e t e c t i o u s i ng   d a t a   m i n i ng   s c he m e ,"   I I nt e r ne t   T e c hno l og y   a nd   A ppl i c a t i ons ,   201 I n t e r na t i o nal   C o nf e r e nc e   on ,   I E E E pp .   1 - 4,   20 1 0.   [ 18]   N og ue i r a   A ,   S a l v a do r   P ,   B l e s s a   F . ,   " A   bo t ne t   d e t e c t i o s y s t e m   b a s e o ne ur a l   n e t w o r k s ,"   I D i g i t al   T e l e c om m uni c at i on s   ( I C D T ) ,   I E E E p p.   57 - 6 2,   20 10 .   [ 19]   S a r a v a n a A ,   S a t hy a B a m a   S ,   K a d r y   S ,   R a m a s a m y   L   K . ,   " A   ne w   f r a m e w o r t o   a l l e v i a t e   D D o S   v ul ne r a b i l i t i e s     i c l o ud  c o m put i ng ,"   I nt e r n at i on al   J ou r na l   o f   E l e c t r i c a l   a nd   C om put e r   E ng i ne e r i ng   ( I J E C E ) v o l .   9 ( 5) ,     pp.   41 63 - 4175 ,   2019 .   [ 20]   L W ,   R a m m i di   G ,   G ho r ba n i   A A . ,   " C l us t e r i ng   bo t ne t   c o m m uni c a t i o t r a f f i c   ba s e o n - g r a m   f e a t u r e   s e l e c t i o n ,"   C om put C om m un v o l .   34( 3) ,   pp .   5 02 - 14 ,   2011 .   [ 21]   Z e i d a nl o o   H R ,   M a n a f   A B ,   V a hda n i   P ,   T a ba t a b a e i   F ,   Z a m a ni   M . ,   " B o t ne t   d e t e c t i o ba s e o t r a f f i c   m o ni t o r i ng ,"     i n   N e t w or k i ng   a nd   I n f o r m at i on   T e c hn ol o gy   ( I C N I T ) ,   I E E E p p.   97 - 101,   2 010 .   [ 22]   H a K - S ,   I m   E G . ,   " A   s ur v e y   on  P 2P   B ot ne t   de t e c t i on ,"   i P r oc e e di ngs   o f   t he   I n t e r nat i on al   C on f e r e nc e   on  I T   C onv e r ge nc e   an Se c u r i t y   2 011 ,   S pr i ng e r ,   pp .   5 89 - 5 93 ,   2012 .   [ 23]   L udl   C ,   M c A l l i s t e r   S ,   K i r d a   E ,   K r ue g e l   C . ,   " O t he   e f f e c t i v e ne s s   o f   t e c hn i que s   t o   de t e c t   ph i s h i ng   s i t e s ,"     i n   I nt e r na t i ona l   C on f e r e nc e   on  D e t e c t i on  o f   I nt r us i on s   and  M a l w ar e ,   and  V ul ne r abi l i t y   A s s e s s m e nt .   S pr i ng e r ,     pp.   20 - 39 ,   200 7 .   [ 24]   F e l i J ,   J o s e ph  C ,   G ho r ba ni   A A . ,   " G r o up  be ha v i o r   m e t r i c s   f o r   P 2P   bo t ne t   de t e c t i o n ,"   i L e c t ur e   N o t e s   i C om put e r   Sc i e nc e   ( i n c l udi ng  s ub s e r i e s   L e c t ur e   N o t e s   i n   A r t i f i c i al   I n t e l l i ge nc e   and   L e c t u r e   N ot e s   i B i o i nf or m a t i c s ) ,   S p r i ng e r ,   pp.   93 - 10 4,   20 12 .   [ 25]   D a v i s   C R . ,   F e r na nde z   J M . ,   N e v i l l e   S . ,   " O pt i m i s i ng   s y bi l   a t t a c ks   a g a   i n s t   P 2P - ba s e bo t n e t s , "   I 2009  4 t h   I nt e r n at i on al   C on f e r e nc e   on   M al i c i ou s   and   U nw ant e S of t w ar e ,   I E E E pp .   78 - 87,   20 09 .   Evaluation Warning : The document was created with Spire.PDF for Python.
                                IS S N :   2088 - 8708   Int   J   E l e c   &   Co m E n g ,   V o l .   10 ,   N o .   3 J u n e   2 020   :     2 5 4 3   -   2 5 5 0   2550   [ 26]   W a ng   P ,   A s l a m   B ,   Z o C C . ,   " P e e r - to - P e e r   B o t ne t s ,"   i n   H an dboo k   of   I nf or m a t i on  an C om m un i c a t i on  Se c ur i t y ,   S pr i ng e r ,   p p.   33 5 - 350 ,   2 010 .   [ 27]   B i a u   G ,   D e v r oy e   L ,   L ugo s i   G ,   " C o ns i s t e nc y   o f   r a ndo m   f o r e s t s   a n d   o t he r   a v e r a g i ng   c l a s s i f i e r s ,"   J   M ac L e ar R e s ,   v o l .   9 pp .   201 5 - 20 33 ,   2008 .   [ 28]   R o ka c L . ,   P at t e r C l as s i f i c a t i on   U s i ng   E ns e m bl e   M e t h ods ,   W o r l S c i e nt i f i c ,   200 9.   [ 29]   S a i n i   R ,   G ho s S K . " E ns e m b l e   c l a s s i f i e r s   i n   r e m o t e   s e ns i ng :   A   r e v i e w ,"   P r o c e e di ng   I E E E   201 I nt e r na t i ona l   C onf e r e nc e   on   C om p ut i ng ,   C om m un i c a t i on   and   A u t om a t i on   ( I C C C A ) ,   pp .   114 9 - 11 52 ,   2017 .   [ 30]   T a P - N ,   S t e i nb a c M ,   K um a r   V . ,   " I nt r o duc t i o t o   D a t a   M i n i ng .   2n E d i t i o n.   pe r s o a dd i s o W e s l e y ,"   2006 .   [ 31]   E f r o B   J ,   T i bs h i r a ni   R . ,   " A i nt r o duc t i o t o   t he   bo o t s t r a p , "   J o ur n al   of   t he   A m e r i c an  S t at i s t i c a l   A s s oc i at i on .   C R C   pr e s s v o l .   89 ,   p p.   43 6,   19 93 .   [ 32]   S c ha pi r e   R E . ,   " T h e   s t r e ng t o f   w e a l e a r n a bi l i t y ,"   M a c h   L e ar n v o l .   5( 2 ) ,   p p.   19 7 - 227,   1 990 .   [ 33]   F r i e dm a J e r o m e   H. ,   " G r e e dy   f unc t i o a ppr o xi m a t i o n:   a   g r a di e n t   bo o s t i ng   m a c hi ne ,"   A nn  S t at v o l .   29   pp.   11 89 - 1 232 ,   200 1.   [ 34]   B e l g i M . ,   D r ă g   L . ,   " R a ndo m   f o r e s t   i r e m o t e   s e ns i ng :   A   r e v i e w   o f   a ppl i c a t i o ns   a n f ut u r e   d i r e c t i o ns ,"   I SP R   J   P hot o gr am m   R e m ot e   Se ns v o l .   11 4 ,   pp .   24 - 31 ,   2016 .   [ 35]   G a r c i a   S . ,   G r i l l   M . S t i bo r e J . ,   Z uni no   A .,   " A e m pi r i c a l   c o m pa r i s o o f   bo t ne t   d e t e c t i o m e t ho ds , "   C om pu t Se c ur v o l .   45 ,   p p.   10 0 - 23,   20 14 .   [ 36]   K ul l ba c S ,   L e i bl e r   R A . ,   " O i nf o r m a t i o a n s uf f i c i e nc y ,"   A nn  M at h   S t at ,   v o l .   22 ( 1 ) ,   p p.   79 - 86 ,   195 1.   [ 37]   B a ns a l   A ,   M a h a pa t r a   S . ,   " c o m pa r a t i v e   a na l y s i s   o f   m a c hi ne   l e a r n i ng   t e c hn i que s   f o r   bo t ne t   d e t e c t i o n ,"     I P r o c e e di ngs   of   t he   10 t h   I nt e r na t i ona l   C on f e r e nc e   on   Se c ur i t y   of   I nf or m a t i on  and   N e t w or k s ,   pp .   91 - 98 ,   2 017 .   [ 38]   R a dhw a H us s e i A bdul z hr a a   A l - S a g he e r 1 ,   K .   I .   M o ha m m e d ,   " I m pa c t   o f   c r a c l e ng t i n t o   pi p e   c o nv e y i n g   f l ui d   ut i l i z i ng   f a s t   f o ur i e r   t r a ns f o r m   c o m put e r   a l g o r i t hm ,"   I nt e r n at i on al   J our na l   o f   E l e c t r i c a l   a nd  C om pu t e r   E ng i ne e r i ng   ( I J E C E ) v o l .   9( 4) ,   pp .   2 541 - 25 47 ,   2 019 .   Evaluation Warning : The document was created with Spire.PDF for Python.