Інформаційна технологія виявлення бот-мереж у корпоративних мережах на основі аналізу DNS-трафіка

Abstract

Дисертація присвячена вирішенню актуальної наукової задачі – створенню інформаційної технології з метою підвищення достовірності та ефективності виявлення бот-мереж в корпоративних мережах на основі аналізу DNS-трафіка. Проведено огляд та виявлено недоліки роботи інформаційних технологій і програмних засобів виявлення бот-мереж в мережах. Розроблено модель бот-мереж з врахуванням DNS, модель DNS-трафіка та модель процесу виявлення бот-мереж в корпоративних мережах на основі аналізу DNS-трафіка. На базі розроблених моделей побудовано інформаційну технологію виявлення бот-мереж у корпоративних мережах на основі аналізу DNS-трафіка, яка ґрунтується на двох розроблених нових методах виявлення бот-мереж: методу ідентифікації бот-мереж на основі їх групової активності в DNS-трафіку та методу виявлення бот-мереж, які застосовують технології ухилення від виявлення на основі DNS. Здійснено програмну реалізацію інформаційної технології виявлення бот-мереж у корпоративних мережах на основі аналізу DNS-трафіка, що дало змогу виявляти відомі та невідомі боти бот-мереж з високою достовірністю.

Диссертация посвящена решению актуальной научной задачи – созданию информационной технологии с целью повышения достоверности и эффективности обнаружения бот-сетей в корпоративных сетях на основе анализа DNS-трафика. Проведен обзор и выявлены недостатки работы информационных технологий и программных средств обнаружения бот-сетей в сетях. Разработана модель бот- сетей с учетом DNS, модель DNS-трафика и модель процесса обнаружения бот- сетей в корпоративных сетях на основе анализа DNS-трафика. Разработан новый метод идентификации бот-сетей в корпоративных сетях на основе их групповой активности в DNS-трафике, который учитывает также анормальное поведение групп КС в DNS-трафике, свойственное многим видам бот-сетей. Разработанный метод позволяет идентифицировать неизвестные боты уже на начальной стадии распространения инфекции в корпоративной сети, может быть применен как для маленьких, так и для больших сетей, и не требует значительных объемов вычислительных ресурсов для обработки данных. Разработан новый метод обнаружения бот-сетей, которые применяют технологии уклонения от обнаружения на основе DNS, такие как технология «быстросменных» сетей (fast flux service networks), «поток доменов» («domain flux»), периодическая смена IP-отображения для вредоносного домена (cycling of IP mapping) и DNS-туннелирование (DNS-tunneling). Метод использует два подхода: пассивный мониторинг входящего DNS-трафика и активное DNS-зондирование. С целью обнаружения бот-сетей, которые применяют технологии уклонения от обнаружения на основе DNS, используется нечеткая кластеризация c-means с частичным обучением. Объектами кластеризации являются векторы признаков, которые получены из полезной нагрузки входных DNS-сообщений относительно запрошенных компьютерными системами сети доменных имен, на основе пассивного мониторинга DNS-трафика. С целью устранения неопределенности части результатов кластеризации используются дополнительные признаки, которые указывают на применение технологий уклонения бот-сетей на основе DNS, которые могут быть получены на основе активного DNS-зондирования. На базе моделей бот-сетей с учетом DNS и модели процесса обнаружения бот- сетей в корпоративных сетях на основе анализа DNS-трафика разработана информационная технология обнаружения бот-сетей в корпоративных сетях на основе анализа DNS-трафика, которая основывается на разработанных методе идентификации бот-сетей на основе их групповой активности в DNS-трафике и методе обнаружения бот-сетей, которые применяют технологии уклонения от обнаружения на основе DNS. Осуществлена программная реализация информационной технологии обнаружения бот-сетей в корпоративных сетях на основе анализа DNS-трафика, что дало возможность обнаруживать известные и неизвестные боты бот-сетей с высокой достоверностью. Программное обеспечение, реализующее информационную технологию обнаружения бот-сетей, позволяет выполнять следующие задачи: выявление известных и неизвестных ботов бот-сетей на основе пассивного мониторинга DNS-трафика и активного DNS-зондирования; локализация инфицированных ботами компьютерных систем сети. Использование разработанного программного обеспечения позволяет повысить уровень достоверности обнаружения бот-сетей на 8-22% по сравнению с известными антивирусными программными средствами и достичь снижения уровня погрешностей первого рода до 4%, что на 13-70% ниже по сравнению с известными антивирусными программными средствами.

The dissertation is devoted to solving of the important scientific problem - the creation of information technology to increase reliability and efficiency of DNS-based botnet detection in the corporate area networks. The weaknesses of the information technologies and software tools for botnets detection in the networks were outlined. The model of botnets which takes into account DNS, the model of DNS-traffic and the model of process of botnets detection in corporate area networks which is based on an analysis of the DNS-traffic were developed. On the basis of the developed models the information technology for botnet detection based on the analysis of DNS-traffic was developed. It is based on two new developed methods: the method of botnets identification based on their group activity in DNS-traffic and the method for botnets detection that use DNS-based evasion techniques. The software of the information technology for botnets detection in the corporate area networks that based on an analysis of the DNS-traffic was developed. Usage of the developed software makes it possible to detect known and unknown bots of the botnets with high reliability.