Övertäckta kanaler med hög bandbredd innebär betydande risker för känslig och skyddad information inom företagsnätverken. Domännamnstunnlar (DNS) ger ett sätt att i hemlighet infiltrera och exfiltrera stora mängder information som passerar nätverksgränserna. Detta papper utforskar möjligheten att upptäcka DNS tunnlar genom att analysera unigram, bigram, och trigram karaktär frekvenser domäner i DNS frågor och svar. Det visas empiriskt hur domäner följer Ziffs lag i ett mönster som liknar naturliga språk, medan tunneltrafik har mer jämnt fördelade karaktärsfrekvenser. Detta tillvägagångssätt gör det möjligt att upptäcka tunnlar över flera områden, medan tidigare metoder vanligtvis koncentrerar sig på övervakning av punkt-till-punkt-system. Anomalier upptäcks snabbt när tunneltrafik jämförs med teckenfrekvensen fingeravtryck av legitim domäntrafik.
Född et al. REF och Qi et al. [24] analysera domännamn teckenfrekvenser och upptäcka DNS-tunneldomännamn.
Detecting DNS Tunnels Using Character Frequency Analysis
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}