[논문 리뷰] Tracking and Characterizing Botnets Using Automatically Generated Domains

Stefano Schiavoni, Federico Maggi외 2명|arXiv (Cornell University)|2013. 11. 21.

Network Security and Intrusion Detection참고 문헌 19인용 수 14

한 줄 요약

이 논문은 피아노스(Phoenix)를 제안하며, 악성 도메인의 소량 피드와 오직 피아노스 수준의 DNS 트래픽만을 사용하여 DGA 기반 봇넷을 식별하고 추적하는 프라이버시 보장 시스템이다. 언어학적 특징과 IP 기반 특징을 조합하여 자동 생성 도메인(AGD)을 탐지하고, 기반 DGA에 따라 그룹화하며, 기존에 알려지지 않은 C&C 도메인을 94.8%의 정확도로 탐지한다.

ABSTRACT

Modern botnets rely on domain-generation algorithms (DGAs) to build resilient command-and-control infrastructures. Recent works focus on recognizing automatically generated domains (AGDs) from DNS traffic, which potentially allows to identify previously unknown AGDs to hinder or disrupt botnets' communication capabilities. The state-of-the-art approaches require to deploy low-level DNS sensors to access data whose collection poses practical and privacy issues, making their adoption problematic. We propose a mechanism that overcomes the above limitations by analyzing DNS traffic data through a combination of linguistic and IP-based features of suspicious domains. In this way, we are able to identify AGD names, characterize their DGAs and isolate logical groups of domains that represent the respective botnets. Moreover, our system enriches these groups with new, previously unknown AGD names, and produce novel knowledge about the evolving behavior of each tracked botnet. We used our system in real-world settings, to help researchers that requested intelligence on suspicious domains and were able to label them as belonging to the correct botnet automatically. Additionally, we ran an evaluation on 1,153,516 domains, including AGDs from both modern (e.g., Bamital) and traditional (e.g., Conficker, Torpig) botnets. Our approach correctly isolated families of AGDs that belonged to distinct DGAs, and set automatically generated from non-automatically generated domains apart in 94.8 percent of the cases.

연구 동기 및 목표

• 감지에 악영향을 미치는 소형이고 내성적인 봇넷을 추적하는 데 도전하는 것.
• 기존 DGA 탐지 방법의 한계를 극복하기 위해 저수준 트래픽 센서, 악성코드 샘플, 또는 클라이언트 IP 가시성 요구를 제거하는 것.
• 오직 공개된 피아노스 수준의 DNS 데이터만을 사용하여 프라이버시 보장, 반복 가능하고 확장 가능한 봇넷 추적을 가능하게 하는 것.
• 기본 DGA에 따라 AGD를 자동으로 그룹화하고, 봇넷 진화와 C&C 행동에 대한 새로운 통찰을 제공하는 것.
• 기존에 알려지지 않은 AGD를 식별하고, 악성코드 역공학 없이도 정확한 봇넷 가족에 할당하는 것.

제안 방법

• Phoenix는 정상 도메인에 대해 훈련된 언어학적 모델을 사용하여 자동 생성 도메인(AGD)을 나타내는 이심을 탐지한다.
• 도메인에서 IP로의 해상도 패턴을 기반으로 도메인을 그룹화하여 개별 봇넷에 해당하는 논리적 클러스터를 식별한다.
• 각 클러스터에서 일반적인 지문을 유도하여 새로운 도메인이 특정 DGA 기반 봇넷에 속하는지 식별한다.
• 언어학적 특징(예: 문자 빈도, n-gram 패턴)과 IP 기반 특징(예: IP 클러스터링, 해상도 패턴)을 조합하여 탐지의 강건성을 향상시킨다.
• 라벨이 붙은 학습 데이터나 악성코드 역공학이 필요 없는 비지도 학습 방식으로 운영된다.
• Phoenix는 피아노스 수준의 DNS 데이터를 활용하여, 클라이언트 IP 가시성이 필요 없이 프라이버시 보장과 확장성을 확보한다.

실험 결과

연구 질문

• RQ1 오직 피아노스 수준의 DNS 데이터와 언어학적 특징만을 사용하여 AGD를 인간이 생성한 도메인과 신뢰성 있게 구분할 수 있는가?
• RQ2 도메인에서 IP로의 해상도 패턴을 기반으로 AGD 클러스터를 자동으로 그룹화하여 개별 봇넷을 나타낼 수 있는가?
• RQ3 Phoenix는 기존에 알려지지 않은 AGD를 탐지하고, DGA에 대한 사전 지식 없이도 정확한 봇넷 가족에 할당할 수 있는가?
• RQ4 Phoenix는 실제 DNS 트래픽에서 AGD 가족을 비-AGD로부터 얼마나 효과적으로 고립하는가?
• RQ5 저수준 네트워크 가시성이 필요 없이 Phoenix가 DGA 진화와 봇넷 행동에 대해 얼마나 실질적인 통찰을 제공할 수 있는가?

주요 결과

• Phoenix는 1,153,516개 도메인의 데이터셋에서 비-AGD와의 AGD 가족 고립에 94.8%의 정확도로 성공적으로 수행하였다.
• 시스템은 도메인 해상도 패턴의 지문을 기반으로 기존에 알려지지 않은 AGD를 탐지하고, 정확한 봇넷 가족에 할당하였다.
• Phoenix는 오직 피아노스 수준의 DNS 데이터에서 유도된 언어학적 및 IP 기반 특징만을 사용하여 AGD와 인간이 생성한 도메인을 높은 정확도로 구분하였다.
• 이 방법은 NAT 및 DHCP와 같은 IP 공유 및 재사용 메커니즘으로 인해 다른 탐지 방법의 성능이 저하되는 것에 대해 강건성을 유지하였다.
• 시스템은 실제 환경에서 검증되었으며, 의심스러운 도메인을 Conficker.B 봇넷에 속하는 것으로 정확하게 라벨링하였다.
• Phoenix는 악성코드 샘플이나 클라이언트 IP 데이터가 필요 없이 DGA 진화, 봇넷 이동 및 C&C 인프라 변화에 대한 새로운 실질적 통찰을 제공한다.