1 Enabling Network Security Through Active DNS Datasets

摘要

大多数现代网络犯罪利用域名系统（DNS）来实现高水平的网络敏捷性，并使对互联网滥用的检测具有挑战性。大多数恶意软件代表了非法互联网操作的关键组成部分，它们被编程为通过DNS查找来定位其命令和控制（C＆C）服务器的IP地址。为了使恶意基础设施既灵活又富有弹性，恶意软​​件作者通常使用复杂的通信方法，利用DNS（即域生成算法）进行活动。一般而言，互联网犯罪分子广泛使用短期可支配领域来推广各种各样的威胁并支持其犯罪网络运营。

为了有效打击互联网滥用，安全社区需要访问免费提供和开放的数据集。此类数据集将支持开发新算法，从而实现现代互联网威胁的早期检测，跟踪和整体生命周期。为此，我们创建了一个系统Thales，它可以从各种种子中主动查询和收集大量域名的记录。这些种子是从多个公共来源收集的，因此没有隐私问题。这项工作的成果将打开并免费提供给研究界。通过三个案例研究，我们展示了收集的活动DNS数据集包含的检测优势。我们表明，（i）公共黑名单（PBL）中超过75％的域名提前几周（有些案例几个月）出现在我们的数据集中，（ii）现有的DNS研究可以仅使用活动DNS实现， （iii）可以使用活动DNS提供的信号识别恶意活动。

研究点的提出

• 网络犯罪利用DNS的情况十分普遍，并且DNS滥用也很常见。
• 一般网络管理员使用DNS 黑名单，但是静态黑名单局部性激励着很多系统实现。但是这些系统依赖于有效的被动DNS收集数据集，这些数据难以获取。研究界需要一个系统、开放、免费的数据集来支持对对安全威