I närvaro av säkerhet motåtgärder, en malware avsedd för data exfiltration måste göra det med hjälp av en dold kanal för att uppnå sitt mål. Bland befintliga hemliga kanaler står domännamnssystemet (DNS) protokoll. Även om upptäckten av dolda kanaler över DNS har studerats grundligt under det senaste årtiondet, tidigare forskning handlade om en viss underklass av hemliga kanaler, nämligen DNS tunneling. Även om vikten av tunnelsökning upptäckt inte undergrävs, en hel klass av låg genomströmning DNS exfiltration malware förblev förbisedd. Målet med denna studie är att föreslå en metod för att upptäcka både tunnel- och låggenomströmningsdata exfiltration över DNS. I detta syfte föreslår vi en lösning som består av en övervakad urvalsmetod, och en utbytbar, och justerbar anomali detektering modell utbildad på legitim trafik. I det första steget används en enklassig klassificering för att upptäcka domänspecifik trafik som inte överensstämmer med det normala beteendet. Sedan, i det andra steget, för att minska den falska positiva hastighet som följer av försöket att upptäcka låg-genomströmning data exfiltration använder vi ett regelbaserat filter som filtrerar data utbyte över DNS som används av legitima tjänster. Vår lösning utvärderades på en medium skala rekursiv DNS-server loggar, och involverade mer än 75,000 legitima användningar och nästan 2.000 attacker. Utvärderingsresultat visar att även om DNS-tunneln är täckt med minst 99 % återkallningsfrekvens och mindre än 0,01 % falskt positiv, är det svårare att upptäcka låg genomflödesutfiltration. Även om inte förhindra det helt, vår lösning begränsar en malware försöker undvika upptäckt med högst en 1kb / h av nyttolast under begränsningarna i DNS syntax (motsvarande fem kreditkortsuppgifter, eller tio användaruppgifter per timme) vilket minskar effektiviteten av attacken.
Nadler et al REF delade DNS data exfiltration attacker i två kategorier; höggenomströmning tunnelling, och låggenomströmning exfiltration attacker.
Detection of Malicious and Low Throughput Data Exfiltration Over the DNS Protocol
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}