随着网络技术的发展，DNS（域名系统）攻击已成为网络安全领域的一大隐患。相较于电子邮件、FTP和HTTP等服务，DNS流量在组织中的监管一直较为薄弱，近年来，网络犯罪分子利用这一漏洞，导致损失高达数百万美元。据@efficientip调查，大型金融服务公司遭受单一DNS攻击的平均恢复成本为924,390美元。企业防火墙通常配置为允许所有UDP端口53（DNS所使用的端口）上的数据包，因为DNS对于几乎所有应用程序都是一项关键服务。一些防火墙提供增强的DNS保护，但这些需要深度数据包检查DNS消息以识别隐蔽通道并隔离包含编码数据的域名。这种能力所需的显著资源以及由此产生的对防火墙转发性能的影响，通常导致企业网络运营商禁用此类功能。这种通过防火墙传输的能力为攻击者提供了一个隐蔽的通道，尽管速率较低，但足以泄露私人数据并保持与恶意软件的通信，通过隧道其他协议（例如SSH、FTP）到指挥控制中心。例如，2017年发现的远程访问木马DNSMessenger就是利用DNS查询和响应在受感染主机上执行恶意PowerShell命令的案例。
解决方案与贡献
为了解决这一问题，悉尼科技大学（UNSW）开发了一种实时检测企业网络中通过DNS进行数据窃取的方法。该方法在交叉验证和测试阶段均具有98%的准确率。我们开发、调整并训练了一个机器学习算法（隔离森林），用于检测异常DNS查询，该算法仅使用已知良性域名的数据集——这有助于发现尚未被检测到的攻击。然后，我们在两个测试组织的边界（UNSW校园和CSIRO/Data 61）的实时10 Gbps流量流上实现了我们的方法。我们的解决方案基于完全合格域名（FQDN）的无状态属性。我们称之为无状态，因为它可以在实时计算中无需任何先验知识。我们的无状态属性列表如下：FQDN中字符总数、子域中字符数、大写字母数、数字字符数、熵、标签数、最大标签长度、平均标签长度。基于这些属性，我们开发了一种机器学习技术，以确定DNS查询是否异常。
实施与效果
基于这些无状态属性，我们开发了一种机器学习技术，以确定DNS查询是否异常。我们在两个测试组织的边界（UNSW校园和CSIRO/Data 61）的实时10 Gbps流量流上实现了我们的方法。这种方法能够实时检测DNS数据泄露，无需任何先验知识，从而提高了检测的准确性和效率。
结尾：对于运维和网络工程师来说，这项技术具有实际意义。它可以帮助他们及时发现并阻止DNS数据泄露，保护企业网络的安全。通过实时检测DNS数据泄露，企业可以更好地防御网络攻击，降低数据泄露的风险，从而保障企业的信息安全。
原文: APNIC Blog（2019-06-24）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog