[论文解读] Survey and Analysis of DNS Filtering Components

Jonathan Magnusson|arXiv (Cornell University)|Jan 8, 2024

Internet Traffic Analysis and Secure E-votingComputer Science被引用 3

一句话总结

本文提出了一种开源框架，整合了响应策略区域（RPZ）、威胁情报源（TIF）和域名生成算法（DGA）检测，以增强DNS解析器的过滤能力。通过结合RPZ的黑名单/白名单机制、来自匿名查询数据的实时威胁情报，以及基于人工智能的DGA检测，该框架在减少误报的同时提升了对恶意域名的检测能力，并通过隐私保护的数据共享和透明性设计，保障了用户隐私。

ABSTRACT

The Domain Name System (DNS) comprises name servers translating domain names into, commonly, IP addresses. Authoritative name servers hosts the resource records (RR) for certain zones, and resolver name servers are responsible for querying and answering DNS queries on behalf of their clients. Unfortunately, cybercriminals often use DNS for malicious purposes, such as phishing, malware distribution, and botnet communication. To combat these threats, filtering resolvers have become increasingly popular, employing various techniques to identify and block malicious requests. In this paper, we survey several techniques to implement and enhance the capabilities of filtering resolvers including response policy zones, threat intelligence feeds, and detection of algorithmically generated domains. We identify the current trends of each area and find missing intersections in the literature, which could be used to improve the effectiveness of filtering resolvers. In addition, we propose future work designing a framework for filtering resolvers using state-of-the-art approaches identified in this study.

研究动机与目标

• 识别DNS过滤技术中的空白与趋势，特别是RPZ、TIF和DGA检测之间的对比。
• 解决尽管RPZ与TIF具有互补优势，但现有文献中缺乏将二者结合研究的问题。
• 提出一个统一的开源框架，利用前沿技术提升对恶意域名的检测能力。
• 通过公开发布过滤列表并支持社区审查，提升DNS过滤的透明度与可信度。
• 通过匿名化流量数据共享和威胁情报管道中的端到端加密，保护用户隐私。

提出的方法

• 实施RPZ作为策略执行层，根据预定义的黑名单和白名单规则，对查询请求进行阻断或重定向。
• 集成实时威胁情报源（TIF），利用匿名化解析器查询数据检测并分类恶意域名。
• 应用前沿的DGA检测技术，识别常用于僵尸网络命令与控制通信的算法生成域名。
• 采用可解释人工智能（XAI）提升透明度，帮助用户理解为何某些域名被阻断。
• 通过仅传输聚合后的匿名化流量模式，实现在组织间隐私保护的威胁情报共享。
• 通过访问控制、加密机制和定期渗透测试，保障系统安全，防止篡改和未授权访问。

Figure 1: Resolver using a response policy zone.

实验结果

研究问题

• RQ1 RPZ、TIF和DGA检测技术在识别恶意DNS流量方面的有效性如何比较？
• RQ2 尽管RPZ与TIF在DNS过滤中具有互补作用，为何现有文献中缺乏将二者结合的研究？
• RQ3 将这三种技术整合为统一过滤框架面临的主要挑战是什么？
• RQ4 在保障有效威胁情报共享的同时，如何保护用户隐私？
• RQ5 哪些设计原则可确保DNS过滤的透明性，并防止其被滥用于审查？

主要发现

• 目前尚无文献同时涵盖响应策略区域（RPZ）与威胁情报源（TIF），表明存在显著的研究空白。
• RPZ对已知威胁有效，但受限于需手动或静态更新策略，若维护不当则存在误报风险。
• 威胁情报源通过提供最新的损毁指标（IOCs）增强了检测能力，但其效果依赖于数据质量和更新时效性。
• DGA检测通过行为分析与模式识别，可有效识别未知或零日恶意域名，具有重要价值。
• 结合RPZ、TIF与DGA检测可显著提升检测准确率，并通过分层、自适应过滤降低误报率。
• 隐私保护的数据共享机制与规则公开透明，可在不损害安全性或被攻击者规避的前提下，增强用户信任。

(a) Clients sharing traffic data.