Characterization and drift detection for a real darknet traffic dataset

This thesis examines unsolicited traffic collected by a passive network telescope darknet sensor over a continuous six-month period, from June to November 2025. The primary objective is to characterize the evolution of attacker activity over time and to evaluate methodologies for automatic traffic labeling. Raw packet captures are systematically transformed into flow-level summaries and aggregated into weekly and monthly epochs. Building on this representation, a customized drift-detection framework is introduced to quantify temporal changes in traffic volume, protocols distribution, geographic origins, and the stability of top actors and targets using concentration indices and Jaccard-based metrics. To complement the analysis, two behavioral labeling approaches are considered to categorize darknet flows based on packet statistics and service intent. This taxonomy is evaluated using both an unsupervised K-Means clustering algorithm and a supervised machine-learning model trained on an external labeled dataset consisting of DDoS attacks and benign traffic flows[1]. Cross-referencing these approaches reveals structural limitations, specifically the "domain shift" phenomenon, inherent in applying standard bidirectional artificial intelligence models to darknet traffic. The empirical results indicate that darknet traffic exhibits episodic patterns and is predominantly concentrated on a limited set of services, specifically Telnet, SSH, and web-related ports. In addition, drift analysis provides mathematical evidence of a highly volatile source environment, with the temporal Jaccard stability index for top source IP addresses frequently dropping below 0.15. Although the most targeted destination ports and services remain consistent over several months, the specific IP addresses conducting these scans rotate rapidly, resulting in a continuously churning pool of traffic sources. These results suggest that static IP blocklists are largely ineffective against contemporary automated threats. The study further demonstrates that lightweight drift metrics and tailored behavioral heuristics offer critical insight into the dynamics of unsolicited traffic, thereby informing the development of drift-aware network monitoring systems.

Questa tesi esamina il traffico non sollecitato raccolto da un sensore darknet passivo (telescopio di rete) in un periodo continuo di sei mesi, da giugno a novembre 2025. L'obiettivo principale è caratterizzare l'evoluzione nel tempo dell'attività degli attaccanti e valutare metodologie per l'etichettatura automatica del traffico. Le catture di pacchetti grezzi vengono trasformate sistematicamente in riepiloghi a livello di flusso e aggregate in epoche settimanali e mensili. Partendo da questa rappresentazione, viene introdotto un framework personalizzato orientato al drift (deriva temporale) per quantificare i cambiamenti temporali nel volume del traffico, nella distribuzione dei protocolli, nelle origini geografiche e nella stabilità dei principali attori e bersagli, utilizzando indici di concentrazione e metriche basate su Jaccard. Per integrare l'analisi, vengono presi in considerazione due approcci di etichettatura comportamentale per categorizzare i flussi darknet basandosi sulle statistiche dei pacchetti e sull'intento del servizio. Questa tassonomia viene valutata utilizzando sia un algoritmo di clustering non supervisionato K-Means, sia un modello di apprendimento automatico supervisionato addestrato su un dataset esterno etichettato costituito da attacchi DDoS e flussi di traffico benigni [1]. Il confronto incrociato di questi approcci rivela limitazioni strutturali, in particolare il fenomeno del "domain shift", inerenti all'applicazione di modelli standard di intelligenza artificiale bidirezionali al traffico darknet. I risultati empirici indicano che il traffico darknet presenta modelli episodici ed è prevalentemente concentrato su un insieme limitato di servizi, in particolare Telnet, SSH e porte legate al web. Inoltre, l'analisi del drift fornisce prove matematiche di un ambiente di origine altamente volatile, con l'indice di stabilità temporale di Jaccard per i principali indirizzi IP sorgente che scende frequentemente al di sotto di 0,15. Sebbene le porte di destinazione e i servizi più presi di mira rimangano costanti per diversi mesi, gli specifici indirizzi IP che conducono queste scansioni ruotano rapidamente, dando luogo a un bacino di fonti di traffico in continuo ricambio. Questi risultati suggeriscono che le blocklist di IP statiche sono in gran parte inefficaci contro le moderne minacce automatizzate. Lo studio dimostra ulteriormente che metriche di drift leggere ed euristiche comportamentali su misura offrono informazioni fondamentali sulle dinamiche del traffico non sollecitato, indirizzando così lo sviluppo di sistemi di monitoraggio di rete drift-aware.