[논문 리뷰] Whac-A-Mole: Six Years of DNS Spoofing

Lan Wei, John Heidemann|arXiv (Cornell University)|2020. 11. 25.

Network Security and Intrusion Detection참고 문헌 22인용 수 5

한 줄 요약

이 논문은 10,000개의 RIPE Atlas 관측점과 B-Root의 서버 측 로그에서 수집한 데이터를 바탕으로 6년 간의 종단간 분석을 통해 DNS 스푸핑을 다룹니다. 공개 스푸퍼와 은밀한 지연자를 식별하는 방법을 제안하며, 스푸핑은 드문 편(1.7%)이지만 증가 추세이며, 주로 프록시가 주요 수단임을 확인합니다. 이는 진짜 양성 검출률이 0.96 초과라는 점에서 검증됩니다.

ABSTRACT

DNS is important in nearly all interactions on the Internet. All large DNS operators use IP anycast, announcing servers in BGP from multiple physical locations to reduce client latency and provide capacity. However, DNS is easy to spoof: third parties intercept and respond to queries for benign or malicious purposes. Spoofing is of particular risk for services using anycast, since service is already announced from multiple origins. In this paper, we describe methods to identify DNS spoofing, infer the mechanism being used, and identify organizations that spoof from historical data. Our methods detect overt spoofing and some covertly-delayed answers, although a very diligent adversarial spoofer can hide. We use these methods to study more than six years of data about root DNS servers from thousands of vantage points. We show that spoofing today is rare, occurring only in about 1.7% of observations. However, the rate of DNS spoofing has more than doubled in less than seven years, and it occurs globally. Finally, we use data from B-Root DNS to validate our methods for spoof detection, showing a true positive rate over 0.96. B-Root confirms that spoofing occurs with both DNS injection and proxies, but proxies account for nearly all spoofing we see.

연구 동기 및 목표

• 장기간에 걸쳐 실세계 환경에서 DNS 스푸핑을 탐지하고 특성화하기.
• 클라이언트 측 관측과 서버 측 검증을 통해 공개 스푸퍼와 은밀한 지연자를 구분하기.
• 종단 간 데이터를 활용하여 스푸핑의 메커니즘—특히 프록시와 DNS 인젝션을 구분하기.
• 스푸핑 활동의 지리적 및 조직적 분포를 파악하기.
• 정본 서버 로그를 사용해 클라이언트 측 탐지 방법을 검증하여 스푸핑 식별의 높은 정확도 확보하기.

제안 방법

• 13개의 루트 서버에 대한 쿼리에 대해 10,000개의 RIPE Atlas 관측점에서 주기적인 활성 프로빙을 수행하여 루트 서버 쿼리에 대한 DNS 응답을 모니터링합니다.
• 예상값과 다름없는 비정상적인 DNS 서버 ID를 식별함으로써 공개 스푸퍼를 탐지합니다.
• ICMP 지연 시간 대비 일관되고 측정 가능한 지연이 있는 DNS 응답을 기반으로 은밀한 지연자를 식별합니다. 이는 트래픽 조작을 시사합니다.
• B-Root의 서버 측 로그를 사용해 클라이언트 측 탐지 결과를 검증하며, 쿼리가 정본 서버에 도달했는지 확인합니다.
• 응답 지연 시간과 쿼리 도달 가능성을 분석하여 스푸핑 메커니즘을 분류하며, 중간에 있는 프록시(인-패스)와 경로상의 인젝션(온-패스)을 구분합니다.
• 통계적 분석을 통해 DNS 지연과 ICMP 지연을 비교하여 스푸핑 영향을 분리하고 중개자 존재 여부를 추론합니다.

실험 결과

연구 질문

• RQ1 6년 간의 장기적 추세에서 글로벌 DNS 루트 인fra구조 전반에서 DNS 스푸핑은 어떻게 변화하고 있는가?
• RQ2 클라이언트 측 관측을 통해 공개 및 은밀한 DNS 스푸핑을 신뢰성 있게 탐지할 수 있는 방법은 무엇인가?
• RQ3 DNS 스푸핑의 주요 메커니즘은 무엇인가? 프록시, 인젝션, 또는 설정 조작인가?
• RQ4 관측된 스푸핑의 대부분을 담당하는 조직이나 네트워크는 어디인가?
• RQ5 정본 서버 측 로그를 사용해 클라이언트 측 스푸핑 탐지 방법을 어느 정도 검증할 수 있는가?

주요 결과

• 최근 관측에서 약 1.7%의 관측점에서 DNS 스푸핑이 영향을 미치며, 이는 여전히 드문 현상임을 시사합니다.
• 6년 간의 연구 기간 동안 DNS 스푸핑 비율이 두 배 이상 증가하여 뚜렷한 상승 추세를 보입니다.
• 스푸핑은 지리적으로 광범위하게 발생하며, 여러 국가에서 발생하고 일부 지역에서 더 높은 빈도를 보입니다.
• 프록시가 관측된 스푸핑의 거의 전부를 담당하며, B-Root 서버에 도달하지 못한 스푸핑 쿼리의 98%가 프록시 기반으로 발생합니다.
• B-Root 로그를 통한 서버 측 검증 결과, 진짜 양성 검출률이 0.96를 초과하여 클라이언트 측 탐지 방법의 정확도가 검증되었습니다.
• DNS 인젝션은 드물며, 스푸핑 쿼리의 2%만이 인젝션의 흔적을 보이고, 나머지는 프록시 기반의 가로막힘과 일관성이 있습니다.