搜索

[12175] 2017-12-30_AI安全初探：利用深度学习检测DNS隐蔽通道

文档创建者：s7ckTeam
浏览次数：19
最后更新：2025-01-18
2017-12-30_AI安全初探：利用深度学习检测DNS隐蔽通道 A I 安 全 初 探 ： 利 用 深 度 学 习 检 测 D N S 隐 蔽 通 道 原 创   v u l t u r e   F r e e B u f   2 0 1 7 - 1 2 - 3 0 D N S   隐 蔽 通 道 简 介 隐 蔽 通 道 简 介 D N S   通 道 是 隐 蔽 通 道 的 一 种 ， 通 过 将 其 他 协 议 封 装 在 通 道 是 隐 蔽 通 道 的 一 种 ， 通 过 将 其 他 协 议 封 装 在 D N S 协 议 中 进 行 数 据 传 输 。 协 议 中 进 行 数 据 传 输 。 由 于 大 部 分 防 火 墙 和 入 侵 检 测 设 备 很 少 会 过 滤 D N S 流 量 ， 这 就 给 D N S 作 为 隐 蔽 通 道 提 供 了 条 件 ， 从 而 可 以 利 用 它 实 现 诸 如 远 程 控 制 、 文 件 传 输 等 操 作 ， D N S 隐 蔽 通 道 也 经 常 在 僵 尸 网 络 和 A P T 攻 击 中 扮 演 着 重 要 的 角 色 。 D N S 隐 蔽 通 道 可 以 分 为 直 连 和 中 继 两 种 模 式 。 直 连 也 就 是 C l i e n t 直 接 和 指 定 的 目 标 D N S   S e r v e r ( 授 权 的 N S   服 务 器 ) 连 接 ， 通 过 将 数 据 编 码 封 装 在 D N S 协 议 中 进 行 通 信 ， 这 种 方 式 速 度 快 ， 但 是 限 制 比 较 多 ， 很 多 场 景 不 允 许 用 户 指 定 D N S S e r v e r 。 而 中 继 模 式 的 D N S 通 道 则 更 为 隐 蔽 ， 但 同 时 也 因 为 数 据 包 到 达 目 标 D N S   S e r v e r 前 需 要 经 过 多 个 D N S 查 询 服 务 器 ， 所 以 速 度 上 较 直 连 模 式 慢 很 多 。 中 继 模 式 的 D N S 通 道 原 理 如 图 1 所 示 。 图 图 1   中 继 模 式 下 的 中 继 模 式 下 的 D N S 隐 蔽 通 道 原 理 隐 蔽 通 道 原 理 例 如 ， 前 段 时 间 著 名 的 X S h e l l   D N S 通 道 攻 击 ， 黑 客 在 X s h e l l 中 植 入 恶 意 代 码 ， 通 过 D N S 隐 蔽 通 道 外 发 用 户 敏 感 数 据 的 示 例 如 图 2   所 示 ， 黑 客 将 外 发 数 据 藏 在 n y l a l o b g h y h i r g h . c o m 子 域 名 中 。 图 2   X s h e l l   D N S 隐 蔽 通 道 ， 黑 客 将 外 发 数 据 藏 在 n y l a l o b g h y h i r g h . c o m 子 域 名 中 D N S   隐 蔽 通 道 从 提 出 到 现 在 已 经 有 了 很 多 实 现 工 具 ， 历 史 比 较 早 的 有 N S T X 、 O z y m a n d n s ， 目 前 比 较 活 跃 的 有 i o d i n e 、 d n s c a t 2 、 d n s 2 t c p ， 其 他 不 太 常 见 的 还 有 D e N i s e 、 H e y o k a 等 。 不 同 工 具 的 核 心 原 理 相 似 ， 但 在 编 码 、 实 现 细 节 和 应 用 场 景 方 面 存 在 一 定 的 差 异 。 本 文 使 用 卷 积 神 经 网 络 （ C N N ） 来 检 测 D N S 隐 蔽 通 道 。 第 一 步 工 作 是 样 本 数 据 采 集 。 算 法 前 的 准 备 工 作 算 法 前 的 准 备 工 作 — — 数 据 采 集 数 据 采 集 利 用 上 述 D N S 隐 蔽 通 道 工 具 进 行 “ 黑 ” 样 本 采 集 工 作 见 另 一 篇 博 文 《 D N S 隐 蔽 通 道 检 测 — — 数 据 收 集 ， 利 用 i o d i n e 进 行 D N S 隐 蔽 通 道 样 本 收 集 》 ， 其 流 程 是 先 抓 取 D N S 隐 蔽 通 道 工 具 攻 击 过 程 中 的 网 络 流 量 p c a p 包 ， 然 后 利 用 w i r e s h a r k 工 具 将 p c a p 包 转 换 为 机 器 学 习 算 法 能 够 识 别 文 本 文 件 。 这 是 一 个 体 力 活 ， 我 收 集 到 的 业 界 流 行 的 D N S   隐 蔽 通 道 工 具 的 数
据 样 本 如 图 3 所 示 。 图 图 3   收 集 的 收 集 的 D N S 隐 蔽 通 道 工 具 示 意 样 本 隐 蔽 通 道 工 具 示 意 样 本 以 d n s c a t 2 工 具 为 例 ， 其 生 成 的 一 个 样 本 见 图 4 ， 可 以 看 到 D N S 报 文 里 包 含 了 大 量 的 较 长 子 域 名 ， 而 外 发 数 据 便 藏 在 这 些 子 域 名 中 （ 我 使 用 的 主 域 名 是 f r i e n d s a k k a . x y z ） 。 图 图 4   d n s c a t 2 工 具 生 成 的 示 意 样 本 工 具 生 成 的 示 意 样 本 至 于 “ 白 ” 样 本 收 集 ， 我 们 使 用 的 是 某 高 校 的 校 园 网 络 流 量 。 黑 白 样 本 收 集 好 以 后 ， 就 可 以 进 入 检 测 算 法 环 节 了 。 利 用 深 度 学 习 进 行 利 用 深 度 学 习 进 行 D N S 隐 蔽 通 道 检 测 隐 蔽 通 道 检 测 本 文 使 用 C N N （ 卷 积 神 经 网 络 ） 来 检 测 D N S 隐 蔽 通 道 ， 在 介 绍 算 法 前 ， 先 简 单 介 绍 下 C N N 。 C N N （ 卷 积 神 经 网 络 ） 常 用 于 图 像 识 别 并 取 得 了 极 佳 的 效 果 。 图 5 展 示 的 是 一 个 典 型 的 卷 积 神 经 网 络 结 构 。 该 网 络 包 含 两 个 卷 积 层 （ c o n v o l u t i o n   l a y e r ） ， 两 个 池 化 层 （ p o o l i n g   l a y e r ） 和 一 个 全 连 接 层 （ f u l l y   c o n n e c t e d   l a y e r ） 。 图 图 5   典 型 的 卷 积 神 经 网 络 结 构 典 型 的 卷 积 神 经 网 络 结 构 卷 积 神 经 网 络 的 基 本 思 想 和 我 们 人 类 大 脑 识 别 图 像 的 机 制 是 一 致 的 。 例 如 ， 当 看 到 一 张 “ 喵 星 人 ” 图 像 时 ， 我 们 之 所 以 认 为 它 是 “ 喵 星 人 ” ， 是 因 为 我 们 看 到 它 有 萌 萌 的 头 、 长 长 的 尾 巴 、 柔 软 光 滑 的 皮 毛 等 明 显 特 征 ， 通 过 组 合 （ 更 高 层 次
的 抽 象 ） 这 些 特 征 ， 我 们 的 大 脑 最 终 便 可 做 出 准 确 的 判 断 。 卷 积 神 经 网 络 的 基 本 思 想 也 是 类 似 ， 核 心 理 念 包 括 ： ·   局 部 感 受 野 ： 这 是 通 过 卷 积 层 来 完 成 的 ， 形 象 地 说 ， 就 是 模 仿 你 的 眼 睛 ， 想 想 看 ， 你 在 看 东 西 的 时 候 ， 目 光 是 聚 焦 在 一 个 相 对 较 小 的 局 部 吧 ？   比 如 喵 星 人 的 图 像 上 有 爪 子 或 者 萌 头 等 明 显 的 局 部 特 征 。 而 在 卷 积 神 经 网 络 中 ， 每 个 隐 层 节 点 只 连 接 到 图 像 的 某 些 局 部 像 素 点 上 。 ·   池 化 ： 形 象 地 说 ， 当 你 看 向 远 方 ， 然 后 闭 上 眼 睛 ， 你 仍 然 记 得 看 到 了 些 什 么 ， 但 是 你 能 完 全   记 住 你 刚 刚 看 到 的 每 一 个 细 节 吗 ？ 答 案 是 不 能 。 同 样 ， 在 卷 积 神 经 网 络 中 ， 没 有 必 要 对 原 图 像 所 有 细 节 做 处 理 ， 而 是 使 用 某 种   “ 压 缩 ” 方 法 ， 这 就 是 池 化 ， 也 就 是 每 次 将 原 图 像 卷 积 后 ， 都 通 过 一 个 采 样 的 过 程 ， 来 减 小 图 像 的 规 模 。 ·   权 值 共 享 ： 在 卷 积 神 经 网 中 ， 同 一 个 卷 积 核 内 ， 所 有 的 神 经 元 的 权 值 是 相 同 的 ， 从 而 大 大 减 少 需 要 训 练 的 参 数 。 之 所 以 如 此 设 计   ， 就 如 同 人 类 大 脑 的 某 个 神 经 中 枢 中 的 神 经 细 胞 ， 它 们 的 结 构 、 功 能 是 相 同 的 ， 甚 至 可 以 互 相 替 代 。 如 果 你 还 没 有 理 解 的 话 ， 我 们 再 看 下 面 这 个 例 子 ， 专 家 们 设 计 了 包 含 1 0 个 卷 积 层 ， 4 个 池 化 层 和 2 个 全 连 接 层 的 卷 积 神 经 网 络 ， 见 图 6 所 示 ， 该 网 络 主 要 用 于 图 像 识 别 。 专 家 们 发 现   ， 在 比 较 低 的 层 ， 神 经 元 倾 向 于 学 习 一 些 简 单 的 模 式 ， 比 如 图 像 边 缘 、 颜 色   、 条 带 灯 ； 而 在 比 较 高 的 层 ， 神 经 元 能 够 检 测 到 一 些 更 为 高 层 次 的 抽 象 特 征 ， 比 如 整 辆 轿 车 等 。 图 图 6   专 家 构 建 的 用 于 图 像 识 别 的 卷 积 神 经 网 络 专 家 构 建 的 用 于 图 像 识 别 的 卷 积 神 经 网 络 C N N 的 诞 生 是 为 了 解 决 图 像 处 理 问 题 。 在 安 全 界 ， 瀚 思 科 技 开 发 出 了 基 于 深 度 学 习 的 二 进 制 病 毒 样 本 检 测 技 术 ， 可 以 做 到 沙 箱 同 等 水 平 的   9 9 %   的 检 测 准 确 率 ， 而 误 报 率 低 于   1 / 1 0 0 0 。 C N N 检 测 的 图 像 通 常 是 二 维 数 据 ， 而 作 为 D N S 隐 蔽 通 道 传 输 的 子 域 名 虽 是 一 维 的 文 本 数 据 ， 但 同 样 可 以 用 C N N 进 行 处 理 。 在 本 文 的 D N S 隐 蔽 通 道 检 测 中 ， 我 们 使 用 一 维 的 卷 积 函 数 处 理 D N S 子 域 名 片 段 ， 以 提 炼 高 级 特 征 进 一 步 分 析 。 利 用 C N N 进 行 D N S 隐 蔽 通 道 检 测 的 代 码 框 架 如 下 ：
大 致 流 程 是 先 获 取 黑 白 样 本 数 据 ， 然 后 将 8 0 % 的 数 据 用 于 训 练 ， 剩 下 2 0 % 的 数 据 用 于 C N N 模 型 验 证 。 其 中 ， g e t _ c n n _ m o d e l 使 用 了 p y t h o n 的 T e n s o r F l o w 库 t f l e a r n ， 其 代 码 如 下 ： 在 上 述 模 型 中 ， 为 了 进 行 数 据 降 维 先 加 入 了 e m b e d d i n g 层 ， 其 本 质 和 w o r d 2 v e c 一 样 ， 因 为 在 D N S   隐 蔽 通 道 的 子 域 名 中 包 含 了 大 量 的 字 符 而 导 致 数 据 输 入 维 度 过 高 ， 代 码 中 o u t p u t _ d i m = 6 4 表 示 将 数 据 输 入 降 低 维 度 到 6 4 维 。 接 下 来 我 们 使 用
一 维 的 卷 积 函 数   c o n v _ 1 d 处 理 D N S 子 域 名 片 段 ， 提 炼 高 级 特 征 进 一 步 分 析 。 由 于 典 型 的 一 维 卷 积 函 数 处 理 文 字 片 段 的 大 小 通 常 为 3 、 4 、 5 ， 我 们 也 使 用 这 些 典 型 参 数 。 此 外 ， 模 型 中 加 入 了 d r o p o u t ， 用 于 防 止 过 拟 合 。 获 取 黑 白 样 本 数 据 的 代 码 如 下 ， 其 中 包 括 对 原 始 的 子 域 名 字 符 进 行 字 典 编 码 （ 先 得 到 黑 白 样 本 所 有 子 域 名 字 符 集 合 ） ， 并 使 用 p a d _ s e q u e n c e s 函 数 按 照 固 定 长 度 进 行 子 域 名 长 度 对 齐 操 作 （ 因 C N N 要 求 各 样 本 数 据 输 入 维 度 一 致 ， 而 某 些 子 域 名 很 短 ， 某 些 子 域 名 很 长 ，   p a d _ s e q u e n c e s 将 短 的 子 域 名 采 用 特 殊 数 字 进 行 填 充 补 齐 ， 使 它 们 长 度 一 致 ） ： 其 中 ， g e t _ l o c a l _ d a t a 主 要 是 从 样 本 文 件 中 提 取 D N S 子 域 名 。
核 心 代 码 讲 解 完 毕 ， 开 始 进 行 模 型 训 练 。 在 我 的 个 人 电 脑 上 ， 算 法 运 行 时 间 大 概 1 7 小 时 ， 最 后 的 结 果 如 下 ：

可 以 看 到 算 法 迭 代 了 1 0 次 ， 每 次 训 练 时 间 一 个 多 小 时 ， 最 终 的 检 测 精 度 在 9 9 . 5 3 % ， 使 用 C N N 进 行 D N S 隐 蔽 通 道 的 检 测 效 果 初 步 看 来 还 不 错 。 但 是 ， 因 为 训 练 样 本 和 测 试 样 本 的 内 在 数 据 分 布 规 律 是 相 同 的 ， 该 精 度 再 高 也 可 能 存 在 一 定 的 过 拟 合 风 险 。 下 面 我 们 利 用 前 段 时 间 著 名 的 X S h e l l   D N S 隐 蔽 通 道 攻 击 来 评 估 算 法 的 检 测 能 力 。 验 证 验 证 X S h e l l 的 检 测 效 果 的 检 测 效 果 我 们 尝 试 用 训 练 出 的 算 法 检 测 前 段 时 间 著 名 的 X S h e l l 隐 蔽 通 道 攻 击 ， 其 进 行 攻 击 的 域 名 为 n y l a l o b g h y h i r g h . c o m ， 将 包 含 该 攻 击 的 D N S 样 本 加 入 到 模 型 预 测 中 ：
运 行 后 得 到 的 检 测 准 确 率 为 9 7 . 3 % ， 也 就 意 味 着 n y l a l o b g h y h i r g h . c o m 下 9 7 . 3 % 的 子 域 名 都 可 能 是 在 利 用 D N S 隐 蔽 通 道 传 输 数 据 。 上 述 验 证 表 明 ， 使 用 C N N 可 以 有 效 地 检 测 D N S 隐 蔽 通 道 。 当 然 ， 最 终 的 检 测 准 确 率 还 需 在 真 实 而 复 杂 的 网 络 环 境 中 长 期 运 行 观 察 而 定 。 结 语 结 语 本 文 只 是 A I 安 全 初 探 的 一 次 尝 试 ， 大 致 说 明 了 使 用 深 度 学 习 算 法 C N N 进 行 安 全 检 测 的 基 本 流 程 ， 文 中 有 写 得 不 明 白 的 地 方 ， 欢 迎 大 家 留 言 一 起 探 讨 。 参 考 资 料 【 点 击 阅 读 原 文 】 参 考 资 料 【 点 击 阅 读 原 文 】 *   本 文 作 者 ： b o n e l e e ， 本 文 属 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理