[論文レビュー] Survey and Analysis of DNS Filtering Components

Jonathan Magnusson|arXiv (Cornell University)|Jan 8, 2024

Internet Traffic Analysis and Secure E-votingComputer Science被引用数 3

ひとこと要約

本論文は、応答ポリシーゾーン（RPZ）、脅威インテリジェンスフィード（TIF）、およびドメイン生成アルゴリズム（DGA）検出を統合したオープンソースフレームワークを提案する。RPZによるブロックリスト/アローリスト、匿名化されたクエリデータからのリアルタイム脅威インテリジェンス、およびAI駆動のDGA検出を組み合わせることで、悪意あるドメインの検出を向上させるとともに、誤検出を最小限に抑え、プライバシー保護型のデータ共有と透明性によりユーザーのプライバシーを確保する。

ABSTRACT

The Domain Name System (DNS) comprises name servers translating domain names into, commonly, IP addresses. Authoritative name servers hosts the resource records (RR) for certain zones, and resolver name servers are responsible for querying and answering DNS queries on behalf of their clients. Unfortunately, cybercriminals often use DNS for malicious purposes, such as phishing, malware distribution, and botnet communication. To combat these threats, filtering resolvers have become increasingly popular, employing various techniques to identify and block malicious requests. In this paper, we survey several techniques to implement and enhance the capabilities of filtering resolvers including response policy zones, threat intelligence feeds, and detection of algorithmically generated domains. We identify the current trends of each area and find missing intersections in the literature, which could be used to improve the effectiveness of filtering resolvers. In addition, we propose future work designing a framework for filtering resolvers using state-of-the-art approaches identified in this study.

研究の動機と目的

• RPZ、TIF、DGA検出の間におけるDNSフィルタリング技術のギャップとトレンドを特定すること。
• RPZとTIFが相補的な強みを有するにもかかわらず、両者を統合した文献が不足していることへの対処。
• 最新技術を活用した、悪意あるドメインの検出を強化する統合的でオープンソースのフレームワークを提案すること。
• フィルターリストを公開し、コミュニティによる監査を可能にすることで、DNSフィルタリングにおける透明性と信頼性を向上させること。
• 匿名化されたトラフィックデータ共有と脅威インテリジェンスパイプラインにおけるエンドツーエンド暗号化を通じて、ユーザーのプライバシーを保護すること。

提案手法

• 定義済みのブロックリストおよびアローリストに基づき、クエリをブロックまたはリダイレクトするポリシー実行レイヤーとしてのRPZの実装。
• 匿名化されたリゾルバクエリデータを活用し、悪意あるドメインを検出・分類するリアルタイム脅威インテリジェンスフィード（TIF）の統合。
• ボットネットC2通信で頻繁に使用されるアルゴリズム的生成ドメインを特定するための最新のDGA検出技術の適用。
• 説明可能なAI（XAI）を用いて透明性を向上させ、なぜ特定のドメインがブロックされたかをユーザーが理解できるようにする。
• 集計化され匿名化されたトラフィックパターンのみを送信することで、組織間でのプライバシー保護型インテリジェンス共有を可能にする。
• 改ざんや不正アクセスを防ぐために、アクセス制御、暗号化、定期的なペネトレーションテストを用いたシステムのセキュリティ強化。

Figure 1: Resolver using a response policy zone.

実験結果

リサーチクエスチョン

• RQ1 RPZ、TIF、DGA検出技術は、悪意あるDNSトラフィックを特定するうえで、どのように効果性を比較できるか？
• RQ2 RPZとTIFがDNSフィルタリングにおいて相補的な役割を果たすにもかかわらず、それらを統合した文献が不足しているのはなぜか？
• RQ3 これらの3つの技術を統合的なフィルタリングフレームワークに統合するうえでの主な課題は何か？
• RQ4 DNSリゾルバからの効果的な脅威インテリジェンス共有を可能にする一方で、プライバシーをどのように保護できるか？
• RQ5 DNSフィルタリングが検閲の目的で悪用されるのを防ぐために、どのような設計原則が必要か？

主な発見

• 既存の文献では、応答ポリシーゾーン（RPZ）と脅威インテリジェンスフィード（TIF）を同時にカバーするものがないことから、顕著な研究ギャップが示された。
• RPZは既知の脅威に対して有効であるが、手動または静的ポリシー更新が必要であり、保守されていないと誤検出のリスクがある。
• 脅威インテリジェンスフィードは、侵害の兆候（IOCs）を最新のものに保つことで検出能力を向上させるが、データ品質とタイムリーな更新に依存する。
• DGA検出は、行動的およびパターン分析を通じて未知のゼロデイ悪意あるドメインを特定する価値を提供する。
• RPZ、TIF、DGA検出の統合は、階層的かつ適応的なフィルタリングにより、検出精度を著しく向上させるとともに、誤検出を低減できる。
• プライバシー保護型データ共有とルール公開の透明性は、セキュリティを損なわず、攻撃者が回避を試みるのを防ぐ信頼性を高める。

(a) Clients sharing traffic data.