[论文解读] Combating Malicious DNS Tunnel

Zheng Wang|arXiv (Cornell University)|May 4, 2016

Internet Traffic Analysis and Secure E-voting参考文献 1被引用 6

一句话总结

本文提出了一种基于隧道验证器的防御系统，用于检测并阻止恶意DNS隧道，同时允许合法的DNS隧道。该系统采用混合方法，结合已注册域名白名单、恶意域名黑名单以及基于有效载荷的检测，以区分良性与恶意隧道，同时提供日志记录以支持取证和问责。

ABSTRACT

This paper proposes a defense scheme against malicious use of DNS tunnel. A tunnel validator is designed to provide trustworthy tunnel-aware defensive recursive service. In addition to the detection algorithm of malicious tunnel domains, the tunnel validation relies on registered tunnel domains as whitelist and identified malicious tunnel domains as blacklist. A benign tunnel user is thus motivated to register its tunnel domain before using it. Through the tunnel validation, the secure domains are allowed to the recursive service provided by the tunnel validator and the insecure domains are blocked. All inbound suspicious DNS queries are recorded and stored for forensics and future malicious tunnel detection by the tunnel validator.

研究动机与目标

• 应对日益增长的恶意DNS隧道威胁，这些威胁被用于命令与控制、数据外泄和C2通信。
• 克服区分恶意DNS隧道与安全软件使用的良性隧道之间的挑战。
• 提供一种可扩展、可信的递归DNS服务，验证隧道域名并阻止恶意域名。
• 通过记录出站查询，支持对恶意隧道活动的取证追踪。

提出的方法

• 部署一个隧道验证器递归解析器，作为DNS查询的可信中间人。
• 建立DNS隧道注册表，收集并维护已注册的隧道域名作为白名单。
• 从外部来源和历史分类中维护已知恶意隧道域名的黑名单。
• 应用有效载荷分析，通过查询名称长度、熵值和统计特征检测可疑查询模式。
• 利用缓存行为：高缓存命中率表明域名可能为良性，低命中率则暗示可能为恶意。
• 记录所有出站DNS查询，以支持取证分析和错误地未检测到恶意查询（假阴性）的检测。

实验结果

研究问题

• RQ1 如何可靠地区分恶意DNS隧道与安全软件使用的良性DNS隧道？
• RQ2 哪些机制可以确保合法隧道不被阻断，同时有效缓解恶意隧道？
• RQ3 结合域名注册、黑名单和有效载荷分析是否能提供一种可扩展且准确的防御方案？
• RQ4 取证日志如何支持对恶意隧道活动的检测与问责？

主要发现

• 所提出的防御方案通过可信隧道验证器验证隧道域名，实现了安全的递归DNS解析。
• 合法隧道用户有动力注册其域名，以避免被系统阻断。
• 可通过有效载荷分析检测并阻断恶意隧道域名，包括查询名称长度和熵值指标。
• 缓存行为提供了额外的检测信号：良性域名的缓存命中率高于恶意域名。
• 出站查询日志支持取证分析，并有助于检测那些错误地被转发的恶意查询（假阴性）。
• 已注册的恶意域名可从系统中撤销并加入黑名单，从而实现技术和法律上的问责。