高级持续性威胁中隐蔽可疑DNS行为的检测

摘要：

近年来,高级持续性威胁(advanced persistent threats,APT)危害企业、组织甚至国家安全,给目标带来了巨大的经济损失,其重要特征是攻击持续时间跨度大,在目标网络内长期潜伏.现有的安全防御措施还无法有效检测APT.现有研究认为通过分析APT攻击中目标网络的DNS请求,可以帮助检测APT攻击.增加DNS流量中的时间特征结合变化向量分析和信誉评分方法来检测隐蔽可疑的DNS行为.提出一种协助检测APT的框架APDD,通过分析大量的DNS请求数据检测长时间周期下APT中隐蔽可疑的DNS行为.将收集到的DNS请求数据执行数据缩减并提取特征;利用变化向量分析方法(change vector analysis,CVA)和滑动时间窗口方法分析待检测域名访问记录与现有APT相关域名之间的相似度;建立一个信誉评分系统对相似度较高的待检测域名访问记录进行打分;APDD框架输出一个可疑域名访问记录排名列表,可用于后续人工优先分析最可疑的记录,从而提高APT攻击的检测效率;利用一个大型校园网中收集的包含1584225274条DNS请求记录的数据加入仿真攻击数据来验证框架的有效性与正确性,实验结果表明:提出的框架可以有效地检测到APT中隐蔽可疑的DNS行为.

关键词：高级持续威胁、DNS请求数据、数据缩减、变化向量分析、信誉评分

所属期刊栏目：54

分类号：TP393(计算技术、计算机技术)

资助基金：国家自然科学基金项目61472162,61772229This work was supported by the National Natural Science Foundation of China 61472162,61772229

在线出版日期：2017-11-20（万方平台首次上网日期，不代表论文的发表时间）

页数：共10页

页码：2334-2343