Abstract-Various familjer av malware använder domängenerering algoritmer (DGAs) för att generera ett stort antal pseudo-random domännamn för att ansluta till en kommando och kontroll (C2) server. För att blockera DGA C2 trafik, måste säkerhetsorganisationer först upptäcka algoritmen genom omvänd teknik malware prover, sedan skapa en lista över domäner för ett givet utsäde. Domänerna är då antingen förregistrerade, sjunkhålade eller publicerade i en DNS svartlista. Denna process är inte bara tråkig, men kan lätt kringgås av malware författare. En alternativ metod för att stoppa malware från att använda DGAs är att avlyssna DNS-frågor på ett nätverk och förutsäga om domäner är DGA genereras. En stor del av det tidigare arbetet med att upptäcka DGA bygger på att hitta grupperingar av liknande domäner och använda deras statistiska egenskaper för att avgöra om de genereras av DGA. Dessa tekniker körs dock över stora tidsfönster och kan inte användas för realtidsdetektering och förebyggande. Dessutom använder många av dessa tekniker också kontextuell information såsom passiv DNS och aggregeringar av alla NXDomains i ett nätverk. Sådana krav är inte bara kostsamma att integrera, de kanske inte är möjliga på grund av verkliga begränsningar i många system (såsom detektering av endpoint). Ett alternativ till dessa system är ett mycket svårare problem: att upptäcka DGA-generationen per domän utan någon information förutom domännamnet. Tidigare arbete för att lösa detta svårare problem uppvisar dålig prestanda och många av dessa system är starkt beroende av manuellt skapande av funktioner; en tidskrävande process som lätt kan kringgås av malware författare. I detta dokument presenteras en DGA-klassificerare som utnyttjar långsiktiga kortfristiga minnesnätverk (LSTM) för realtidsförutsägelse av DGAs utan behov av kontextuell information eller manuellt skapade funktioner. Dessutom kan den presenterade tekniken korrekt utföra flera klasser klassificering ger förmågan att tillskriva en DGA genererad domän till en specifik malware familj. Tekniken är extremt enkel att implementera med hjälp av öppen källkod verktyg som gör att tekniken kan användas i nästan alla miljöer. Resultaten är betydligt bättre än alla toppmoderna tekniker, vilket ger 0,9993 area under mottagarens karakteristiska kurva för binär klassificering och en mikrogenomsnittlig F1-poäng på 0,9906. Med andra ord, LSTM-tekniken kan ge en 90% detektionsfrekvens med en 1:10000 falskt positiv (FP) hastighet-en tjugo gånger FP förbättring över nästa bästa metod. Experiment i detta papper körs på öppna datauppsättningar och kodslippar ges för att reproducera resultaten.
Ytterligare förbättringar av de senaste resultaten rapporterades av Woodbridge et al. Hoppa över det.
Predicting Domain Generation Algorithms with Long Short-Term Memory Networks
{'venue': 'ArXiv', 'journal': 'ArXiv', 'mag_field_of_study': ['Computer Science']}