NXDOMAIN応答に着目したDGAを用いるボットの検知·遮断システムの実装と評価

摘要

昨今ボットによる被害が増大している。本研究ではDomain Generation Algorithm（DGA）型ボットを対象とし、その感染の検知及び遮断を目的とする。そのため、当該ボットによるCommand & Control（C&C）サーバのDNS検索の特徴を利用する。すなわちDGA型ボットは、現在時刻やSNSトレンドなどをシードとした擬似乱数を用いて多数の識別困難なドメイン名を生成する。攻撃者は生成したドメイン名の一部をC&Cサーバのドメイン名として権威DNSに登録し、DNSで検索可能とする。C&Cサーバのドメイン名は攻撃者以外が予測することは困難であり、そのためDNS通信の観測のみでは不正通信の識別が困難である。この課題の解決策としてDGAの特徴「多数の未登録ドメイン名も生成されるため、ドメイン名の不在応答であるNXDOMAIN応答が送信される」に着目する。本研究ではボットの感染拡大時に発生するNXDOMAIN応答を分析し、それにより不正DNS通信の検知とその遮断を実現するシステムを設計、実装し、そして多数のDGAを用いた検証実験を行う。