[論文レビュー] Killing Two Birds with One Stone: Malicious Domain Detection with High Accuracy and Coverage

Issa Khalil, Bei Guan+2 more|arXiv (Cornell University)|Nov 1, 2017

Network Security and Intrusion Detection参考文献 25被引用数 4

ひとこと要約

本稿では、アクティブDNSデータにおけるパブリックIPと専用IPの区別により、同じエンティティが制御するドメイン間の正確で高カバレッジの関連付けを可能にする、新たなドメイン関連付け方式を提案する。この手法は、共通IPに基づくアプローチに比べ、検出精度とカバレッジの両面で顕著に優れており、スケーラブルな推論を実現する信念伝播と効果的に統合され、精度の損失を最小限に抑える。

ABSTRACT

Inference based techniques are one of the major approaches to analyze DNS data and detecting malicious domains. The key idea of inference techniques is to first define associations between domains based on features extracted from DNS data. Then, an inference algorithm is deployed to infer potential malicious domains based on their direct/indirect associations with known malicious ones. The way associations are defined is key to the effectiveness of an inference technique. It is desirable to be both accurate (i.e., avoid falsely associating domains with no meaningful connections) and with good coverage (i.e., identify all associations between domains with meaningful connections). Due to the limited scope of information provided by DNS data, it becomes a challenge to design an association scheme that achieves both high accuracy and good coverage. In this paper, we propose a new association scheme to identify domains controlled by the same entity. Our key idea is an in-depth analysis of active DNS data to accurately separate public IPs from dedicated ones, which enables us to build high-quality associations between domains. Our scheme identifies many meaningful connections between domains that are discarded by existing state-of-the-art approaches. Our experimental results show that the proposed association scheme not only significantly improves the domain coverage compared to existing approaches but also achieves better detection accuracy. Existing path-based inference algorithm is specifically designed for DNS data analysis. It is effective but computationally expensive. As a solution, we investigate the effectiveness of combining our association scheme with the generic belief propagation algorithm. Through comprehensive experiments, we show that this approach offers significant efficiency and scalability improvement with only minor negative impact of detection accuracy.

研究の動機と目的

• 限られたアクティブDNSデータを用いた推論ベースの悪意あるドメイン検出において、高精度と高カバレッジを両立する課題に対処すること。
• 共有パブリックホスティングインfraストラクチャの影響により、誤検出率が高い単純な共通IP関連付けの限界を克服すること。
• DNS解決パターンにおけるIPタイプの詳細分析に基づき、ドメイン間の意味のあるエンティティレベルの関係を捉えるドメイン関連付け方式を設計すること。
• 提案された関連付け方式を、専用パスベースの推論と汎用信念伝播アルゴリズムの両者と統合し、スケーラビリティと効率性を評価すること。
• 提案手法が、実世界の展開環境において、検出精度と計算効率の間で良好なトレードオフを達成できることを示すこと。

提案手法

• 本手法は、IPアドレスのホスティングパターンと使用特性に基づき、アクティブDNSデータの詳細な分析を実施し、IPアドレスをパブリックまたは専用に分類する。
• 同一の専用IPに解決されるドメイン間でのみ関連付けを確立し、共有パブリックIPに起因する誤ったリンクを回避する。
• 時間的整合性と解決パターンを活用して、IPが関係のない複数のドメインで共有されている（パブリック）か、または1つのエンティティに専用で使用されている（専用）かを推定する。
• ドメイン関連付け方式を信念伝播（BP）推論アルゴリズムと統合し、関連ドメインネットワークを介して悪意あるラベルを伝播させる。
• パスベース推論と汎用BPの比較を通じて、精度と効率のトレードオフを評価し、BPが精度のわずかな低下で顕著なスケーラビリティ向上を達成できることを示す。
• 本手法は、既知の悪意あるドメインの真値ラベルを用いて、実際のアクティブDNSデータセット上で評価され、検出性能を測定する。

実験結果

リサーチクエスチョン

• RQ1 専用IP同定に基づくドメイン関連付け方式は、共通IPベースの方式に比べ、検出精度を向上させることができるか？
• RQ2 このような方式は、誤検出を引き起こさずに、悪意あるドメイン検出のカバレッジをどの程度向上させることができるか？
• RQ3 信念伝播は、提案された関連付け方式と組み合わせた場合、スケーラビリティと精度の両面でどの程度効果的か？
• RQ4 専用パスベース推論ではなく汎用BPを用いる場合、推論効率と検出精度のトレードオフはどのようになるか？
• RQ5 既存のアプローチが弱い関連付けに依存するため見逃されがちな、未知の悪意あるドメインを、本手法は検出できるか？

主な発見

• 共有パブリックIPに起因する誤関連付けを排除することで、共通IPベースの手法に比べ、本手法の関連付け方式は顕著に高い検出精度を達成する。
• 同じエンティティが制御するドメイン間の意味のある接続を同定することで、既存の手法が見逃す関係を特定し、ドメインカバレッジを向上させる。
• 信念伝播との統合により、推論時間を短縮し、スケーラビリティを向上させ、パスベース推論に比べてわずかな精度の低下に抑えられる。
• 動的DNSサーバーの悪意あるインスタンスを効果的に検出でき、第二級ドメインマッチングに依存する手法ではしばしば見逃される。
• 特に複雑な展開パターンを持つ共有インフラストラクチャ上にホスティングされたドメインの検出において、最先端の手法を上回る精度とカバレッジを達成する。
• 実証的評価により、アクティブDNSデータにおける信頼性の高いドメイン関連付けを構築する上で、パブリックIPと専用IPを区別することが不可欠であることが確認された。