搜索

[671] 2019-01-22_FANCI基于特征的自动NXDomain分类和情报

文档创建者：s7ckTeam
浏览次数：1
最后更新：2025-01-16
2019-01-22_FANCI基于特征的自动NXDomain分类和情报 F A N C I :   基 于 特 征 的 自 动 N X D o m a i n 分 类 和 情 报 A r k T e a m   2 0 1 9 - 0 1 - 2 2 作 者 ： { L I G } @ A r k T e a m 原 文 作 者 ： M S a m u e l   S c h u   ̈ p p e n ,   D o m i n i k   T e u b e r t ,   P a t r i c k   H e r r m a n n   a n d   U l r i k e   M e y e r 原 文 标 题 ： F A N C I :   F e a t u r e - b a s e d   A u t o m a t e d   N X D o m a i n   C l a s s i f i c a t i o n   a n d   I n t e l l i g e n c e . 原 文 会 议 ： T h e   P r o c e e d i n g s   o f   t h e   2 7 t h   U S E N I X   S e c u r i t y   S y m p o s i u m . 现 代 僵 尸 网 络 依 靠 域 名 生 成 算 法 ( D G A ) 生 成 的 域 名 与 其 命 令 控 制 ( C 2 ) 服 务 器 建 立 连 接 ， 而 不 是 使 用 固 定 域 名 或 固 定 I P 地 址 。 据 D G A r c h i v e l , 目 前 已 知 超 过 7 2 种 不 同 的 D G A s ， 它 的 数 量 不 断 增 加 ， 因 为 D G A 显 著 提 高 了 僵 尸 网 络 抵 抗 被 移 除 的 能 力 。 在 之 前 ， 监 控 D N S 流 量 ( 成 功 解 析 / 未 解 析 的 ) 已 被 作 为 检 测 网 络 中 恶 意 活 动 的 主 要 来 源 。 一 般 集 中 于 识 别 C 2 服 务 器 ， 对 此 的 检 测 都 是 基 于 监 督 训 练 ， 需 要 大 量 手 工 标 记 。 因 此 ， 本 文 设 计 了 一 个 通 过 监 控 N X D 响 应 来 检 测 基 于 D G A 的 恶 意 软 件 感 染 的 新 系 统 F A N C I 。 该 系 统 由 3 个 模 块 组 成 ： 训 练 模 块 ， 分 类 模 块 和 情 报 模 块 。 它 的 架 构 如 图 1 所 示 ： 图 1   F A N C I 的 架 构 和 操 作 的 简 要 概 述 训 练 模 块 训 练 模 块 ： F A N C I 是 基 于 监 督 学 习 的 分 类 器 ， 需 要 输 入 标 记 的 m A G D ( 恶 意 的 算 法 生 成 的 域 名 ) 和 b N X D ( 良 性 的 不 存 在 域 名 ) 。 然 后 对 每 个 输 入 进 行 特 征 提 取 ， 训 练 模 型 ， 准 备 用 于 分 类 模 块 中 对 未 知 的 N X D 进 行 分 类 。 提 取 的 特 征 如 下 图 2 所 示 ， 包 括 结 构 特 征 、 语 言 特 征 和 统 计 特 征 。 摆 脱 了 之 前 研 究 中 使 用 的 所 有 需 要 额 外 上 下 文 关 系 的 特 征 ， 采 用 这 些 可 以 从 单 个 域 名 中 提 取 的 特 征 ， 并 且 增 加 了 准 确 性 。
结 构 特 征 语 言 特 征 统 计 特 征 图 2   每 个 输 入 数 据 的 特 征 分 类 模 块 ： 分 类 模 块 ： 分 类 模 块 基 于 从 训 练 模 块 接 收 的 模 型 ， 将 任 意 N X D 分 类 为 m A G D 和 b N X D 。 这 些 输 入 可 以 来 自 情 报 模 块 ， 也 可 以 来 自 任 何 其 他 源 。 首 先 在 输 入 的 N X D 上 进 行 特 征 提 取 ， 然 后 使 用 先 前 训 练 的 模 型 对 提 取 的 特 征 向 量 进 行 实 际 的 分 类 。 情 报 模 块 ： 情 报 模 块 ： 情 报 模 块 的 任 务 是 根 据 分 类 结 果 提 供 情 报 ， 特 别 是 查 找 受 感 染 的 设 备 并 识 别 新 的 D G A 或 未 知 种 子 。 将 分 类 模 块 的 结 果 进 行 加 工 ， 存 储 在 数 据 库 中 。 并 根 据 白 名 单 过 滤 掉 阳 性 结 果 以 进 一 步 减 少 误 报 率 。 然 后 ， 本 文 作 者 比 较 S V M （ 支 持 向 量 机 ） 和 R F （ 随 机 森 林 ） 来 找 到 最 佳 的 分 类 器 设 置 用 于 检 测 m A G D ， 并 通 过 亚 琛 大 学 校 园 网 数 据 和 西 门 子 数 据 进 行 了 泛 化 能 力 的 评 估 以 及 模 型 训 练 和 进 行 分 类 的 速 度 评 估 。 评 估 结 果 显 示 在 绝 大 数 情 况 下 ， R F 比 S V M 更 优 。 本 文 根 据 这 些 评 估 结 果 证 明 了 该 系 统 能 在 很 低 的 假 阳 性 下 产 生 非 常 高 的 分 类 准 确 度 ， 泛 化 能 力 好 ， 并 能 识 别 未 知 的 D G A 。 显 示 了 F A N C I 能 够 很 好 地 应 用 于 真 实 世 界 ， 能 够 为 打 击 基 于 D G A 的 僵 尸 网 络 做 出 决 定 性 的 贡 献 。
注 ： 数 据 集 来 源 ： 亚 琛 工 业 大 学 、 西 门 子 以 及 D G A r c h i v e 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理