Network telescopes or "Darknets" provide a unique window into Internet-wide malicious activities associated with malware propagation, denial of service attacks, scanning performed for network reconnaissance, and others. Analyses of the resulting data can provide actionable insights to security analysts that can be used to prevent or mitigate cyber-threats. Large Darknets, however, observe millions of nefarious events on a daily basis which makes the transformation of the captured information into meaningful insights challenging. We present a novel framework for characterizing Darknet behavior and its temporal evolution aiming to address this challenge. The proposed framework: (i) Extracts a high dimensional representation of Darknet events composed of features distilled from Darknet data and other external sources; (ii) Learns, in an unsupervised fashion, an information-preserving low-dimensional representation of these events (using deep representation learning) that is amenable to clustering; (iv) Performs clustering of the scanner data in the resulting representation space and provides interpretable insights using optimal decision trees; and (v) Utilizes the clustering outcomes as "signatures" that can be used to detect structural changes in the Darknet activities. We evaluate the proposed system on a large operational Network Telescope and demonstrate its ability to detect real-world, high-impact cybersecurity incidents.

中文翻译：

---

放大暗网：表征互联网背景辐射及其结构变化

网络望远镜或“暗网”提供了一个独特的窗口，可以了解与恶意软件传播、拒绝服务攻击、为网络侦察而执行的扫描等相关的互联网范围的恶意活动。对结果数据的分析可以为安全分析师提供可操作的见解，这些见解可用于预防或减轻网络威胁。然而，大型暗网每天都会观察数百万个邪恶事件，这使得将捕获的信息转化为有意义的见解具有挑战性。我们提出了一个新的框架来表征暗网行为及其时间演变，旨在应对这一挑战。提议的框架：（i）提取由暗网数据和其他外部来源提取的特征组成的暗网事件的高维表示；(ii) 学习，以无监督的方式，这些事件的信息保留低维表示（使用深度表示学习），适合聚类；(iv) 在结果表示空间中对扫描仪数据进行聚类，并使用最佳决策树提供可解释的见解；(v) 利用聚类结果作为“签名”，可用于检测暗网活动中的结构变化。我们在大型运营网络望远镜上评估了提议的系统，并展示了其检测现实世界、高影响网络安全事件的能力。(iv) 在结果表示空间中对扫描仪数据进行聚类，并使用最佳决策树提供可解释的见解；(v) 利用聚类结果作为“签名”，可用于检测暗网活动中的结构变化。我们在大型运营网络望远镜上评估了提议的系统，并展示了其检测现实世界、高影响网络安全事件的能力。(iv) 在结果表示空间中对扫描仪数据进行聚类，并使用最佳决策树提供可解释的见解；(v) 利用聚类结果作为“签名”，可用于检测暗网活动中的结构变化。我们在大型运营网络望远镜上评估了提议的系统，并展示了其检测现实世界、高影响网络安全事件的能力。