O ataque de negação de serviço distribuído (Distributed Denial of Service - DDoS) é uma ameaça significativa de segurança, pois compromete financeiramente empresas e organizações ao afetar a disponibilidade de seus serviços. Com a sofisticação das técnicas utilizadas para gerar esses ataques, os sistemas de detecção tradicionais se limitam a ataques DDoS em estágios avançados ou quando o alvo está comprometido. Entretanto, a busca por maior eficiência nesses sistemas de detecção é uma constante e passa pelo problema de selecionar as features mais relevantes, ou seja, as características a serem utilizadas como base para a detecção. Quanto mais associada com o modo de operação do ataque, mais relevante é a feature. No contexto de ataques DDoS, é interessante que a seleção de features consiga funcionar sob dados e/ou features em streaming. Desta forma, apresentamos um método para seleção de features em streaming na detecção de ataques DDoS, que está fundamentado na nossa adaptação do algoritmo alpha-investing, chamado de alpha-investing+, o qual atua de forma sequencial na adição e nos testes das features. O método é aplicado sobre as bases de dados CTU-13 e CICIDS2017 e através de uma análise qualitativa, sugere-se que a técnica pode-se selecionar rapidamente features relevantes de um ataque em curso.

Este trabalho apresenta BotFetcher, um método híbrido para detecção de botnets que considera técnicas de agrupamento e processamento de sinais em grafos. Botnets representam uma ameaça a redes de computadores, pois podem interromper seus serviços na Internet através da coordenação entre uma quantidade massiva de dispositivos infectados (bots), com prejuízos globais estimados em US$ 5,8 bilhões em 2019. BotFetcher contribui para a detecção em escala de botnets, principalmente aquelas formadas por dispositivos da IoT infectados, como as botnets Mirai, Hydra e LuaBot. A detecção dessas botnets é desafiadora devido à quantidade massiva de dados e às limitações de processamento e memória. Assim, BotFetcher agrupa os dispositivos de rede com base em características extraídas do tráfego e realiza a detecção por grupo a partir de indícios de causalidade entre os dispositivos. A avaliação do método teve como entrada a base de dados CTU-13 da Universidade da República Tcheca. BotFetcher detectou o bot no cenário 5 da base CTU-13, com 55 falsos-positivos e nenhum falso-negativo, entre os 39738 nós avaliados.