[论文解读] Whac-A-Mole: Six Years of DNS Spoofing

Lan Wei, John Heidemann|arXiv (Cornell University)|Nov 25, 2020

Network Security and Intrusion Detection参考文献 22被引用 5

一句话总结

本文基于六年期的纵向分析，利用来自10,000个RIPE Atlas探测点和B-Root服务器端日志的数据，对DNS欺骗进行了研究。该研究提出了检测明显欺骗者与隐蔽延迟者的方法，发现欺骗行为虽然罕见（1.7%），但呈增长趋势，且代理机制占主导地位——通过超过0.96的真正阳性率得到验证。

ABSTRACT

DNS is important in nearly all interactions on the Internet. All large DNS operators use IP anycast, announcing servers in BGP from multiple physical locations to reduce client latency and provide capacity. However, DNS is easy to spoof: third parties intercept and respond to queries for benign or malicious purposes. Spoofing is of particular risk for services using anycast, since service is already announced from multiple origins. In this paper, we describe methods to identify DNS spoofing, infer the mechanism being used, and identify organizations that spoof from historical data. Our methods detect overt spoofing and some covertly-delayed answers, although a very diligent adversarial spoofer can hide. We use these methods to study more than six years of data about root DNS servers from thousands of vantage points. We show that spoofing today is rare, occurring only in about 1.7% of observations. However, the rate of DNS spoofing has more than doubled in less than seven years, and it occurs globally. Finally, we use data from B-Root DNS to validate our methods for spoof detection, showing a true positive rate over 0.96. B-Root confirms that spoofing occurs with both DNS injection and proxies, but proxies account for nearly all spoofing we see.

研究动机与目标

• 在长时间尺度上检测并表征真实部署中的DNS欺骗行为。
• 利用客户端观测与服务端验证，区分明显欺骗者与隐蔽延迟者。
• 利用端到端数据识别欺骗背后的机制，特别是代理与DNS注入之间的差异。
• 评估欺骗活动在地理与组织分布上的特征。
• 通过权威服务器日志验证客户端检测方法，确保欺骗识别的高准确性。

提出的方法

• 本研究使用来自10,000个RIPE Atlas探测点的主动探测，监控对全部13个根字母的根服务器查询的DNS响应。
• 通过识别与预期值明显偏离的非典型DNS服务器ID来检测明显欺骗者。
• 通过比较DNS响应延迟与ICMP延迟，识别出一致且可测量的延迟，从而识别隐蔽延迟者，表明存在流量操纵。
• 利用B-Root的服务器端日志验证客户端检测结果，确认查询是否实际到达权威服务器。
• 通过分析响应时延与查询可达性，对欺骗机制进行分类，区分中间人代理（in-path）与在路径上注入（on-path）的注入行为。
• 通过统计分析比较DNS与ICMP延迟，隔离欺骗影响并推断中间设备的存在。

实验结果

研究问题

• RQ1 在六年期间，全球DNS根基础设施中的DNS欺骗行为有何长期趋势？
• RQ2 如何利用客户端观测可靠检测明显与隐蔽的DNS欺骗？
• RQ3 DNS欺骗的主要机制是什么——代理、注入，还是配置篡改？
• RQ4 哪些组织或网络对多数观测到的欺骗行为负有主要责任？
• RQ5 在多大程度上可以利用权威服务器端日志验证客户端欺骗检测？

主要发现

• 在近期观测中，DNS欺骗仅影响约1.7%的探测点，表明其仍属相对罕见。
• 在六年的研究期间，DNS欺骗率翻倍以上，显示出显著的上升趋势。
• 欺骗行为在地理上广泛分布，出现在多个国家，某些地区尤为普遍。
• 代理机制几乎导致了所有观测到的欺骗行为，98%的欺骗查询未到达B-Root服务器。
• 通过B-Root日志进行服务端验证，确认真正阳性检测率超过0.96，验证了客户端检测方法的准确性。
• DNS注入极为罕见，仅有2%的欺骗查询显示出注入迹象，其余均与代理式拦截一致。