Modelling Internet background radiation captured by a cloud telescope as graph structures for the acquisition of cyber threat intelligence

Abstract

A Radiação de Fundo da Internet, do inglês Internet Background Radiation (IBR), refere-se ao tráfego não solicitado direcionado a dispositivos expostos à Internet. A análise da IBR tem auxiliado na detecção de ameaças globais, que abrangem desde malwares até atividades de propagação de botnets. O Cloud Telescope surgiu como uma variante geograficamente distribuída dos tradicionais Telescópios de Rede, permitindo a captura em ambientes de nuvem e possibilitando determinar como o tráfego malicioso afeta simultaneamente diferentes regiões do mundo. Capturas de IBR em larga escala geram altos volumes de dados PCAP, os quais são difíceis de processar por meio de fluxos de processamento lineares, tipicamente estruturados em forma de scripts. Portanto, novas abordagens são necessárias para lidar com grandes conjuntos de dados de radiação de fundo. Este trabalho propõe uma abordagem baseada em grafos para ranquear eventos de rede em IBR. O estudo examina um conjunto de dados de 21 milhões de eventos coletados ao longo de um período de 30 dias. A análise demonstra a viabilidade de categorizar o tráfego com base em características como protocolo, porta e localização geográfica. O pipeline de dados utiliza um método de Extração, Transformação e Carga (ETL) que modela eventos de IBR como estruturas de dados em grafos, onde endereços IP funcionam como vértices e pacotes como arestas. Esta representação estrutural facilita a identificação de padrões de ataque e ameaças emergentes, bem como a realização de análises geográficas e geopolíticas. O método baseado em grafos revelou características que geralmente não são computacionalmente viáveis de serem expostas por métodos convencionais, incluindo a emissão e recepção de radiação em nível de país, os países visados pelos principais emissores de radiação, destinos almejados pelos principais endereços IP de origem, os endereços IP mais atacados e a caracterização de um padrão específico de propagação de botnet de interesse. Os resultados são apresentados como dados tabulares brutos, acompanhados por consultas na linguagem Cypher e pelos grafos resultantes.

Internet Background Radiation (IBR) refers to the unsolicited traffic directed to Internet-facing devices. The analysis of IBR has helped to detect global threats ranging from malware to botnet spreading activity. The Cloud Telescope has emerged as a geographically distributed variant to the traditional Network Telescopes, enabling capture in cloud environments and allowing to determine how malicious traffic simultaneously affects different regions of the world. Large-scale IBR captures generate high volumes of PCAP data, which are difficult to process through linear pipelines, typically in the form of scripts. Therefore, new approaches are required to handle large background radiation datasets. This work proposes a graph-based approach to rank network events in IBR. The study examines a dataset of 21 million events collected over a 30-day period. The analysis demonstrates the feasibility of categorizing traffic based on features such as protocol, port, and geographic location. The data pipeline makes use of an Extraction, Transformation, and Loading (ETL) method that models IBR events as graph data structures, where IP addresses function as vertices and packets as edges. This structural representation facilitates the identification of attack patterns and emerging threats, as well as geographic and geopolitical analyses. The graph-based method uncovered characteristics that are usually not computationally feasible to reveal with standard methods, including country-level radiation emission and reception, countries targeted by top radiation emitters, destination targeted by top IP source addresses, most attacked IP addresses, and the profiling of one particular botnet propagation pattern of interest. Results are provided as raw tabular data, accompanied by cypher language queries, and the resulting graphs.