DGA域名检测

DGA域名检测（Domain Generation Algorithm）

背景
计算机网络实现了资源共享、即时通信和分布式计算，给人们的工作和生活带来了极大的便利。然而这些网络也会被恶意软件滥用，僵尸网络（botnet）就是典型例子。僵尸网络由大量受控主机即僵尸（bot）和一个或多个命令和控制C2（Command &Control）服务器构成，bot与C2服务器相互通信以便传递命令和数据。为避免C2服务器被发现，恶意软件设法采用规避技术来隐藏bot与C2服务器的通信行为，其中，域名生成算法DGA（Domain Generation Algorithm）就是一种实用技术。简单地说，攻击者利用DGA算法和种子（如时间、词典等）生成大量算法生成域名AGD（Algorithmically Generated Domain），然后只需要使用一个域名来进行C2通信，而防御者为了发现该域名，需要对所有AGD域名进行检测。基于这种攻防双方所需资源的不对称性，DGA技术被攻击者广泛使用。MITRE ATT&CK C2战术T1568.002技术记录了十几个使用DGA技术的APT组织，比如APT41、Aria-body等。从2008年臭名昭著的Kraken和Conficker恶意软件以来，为了绕过入侵检测系统的检查，几乎所有恶意软件都采用了DGA技术。最新的技术报告估计，恶意AGD域名数量约占域名总数的9.9%，其中1/5属于基于DGA的僵尸网络（约占所有注册域名的1.8%）。
当前，DGA域名检测研究是安全圈讨论的热点话题。传统的DGA域名检测方法是利用黑名单策略实现，但由于DGA域名容易生成且规模量大，这就导致不断收集和更新黑名单变得不现实。基于机器学习的DGA域名检测方法可以避免这一不足，实现实时检测，已成为DGA域名检测领域研究主流方向。

简介    
DGA域名攻击原理
DGA是一组算法机制，被各种恶意软件家族用来生成大量的伪随机域名。伪随机意味着字符串序列似乎是随机的，但由于其结构可以预先确定，因此可以重复产生和复制。
大多数随机生成的域名是不存在的，只有其中一小部分域名会被注册以供受控主机与C2服务器进行通信，从而获取信息或跟踪其他恶意任务。此外，当一个域名被成功阻止时，攻击者会从DGA生成的域名列表中注册其他域名。利用DGA域名进行攻击的原理如图1[1]所示。
攻击者通过DGA算法生成大量备选域名，受控端恶意软件运行同一套DGA算法，生成相同的备选域名列表，当进行攻击的时候，攻击者选择其中少量域名进行注册，受控端通过查询获取已注册域名后便可以与C2服务器建立连接，进行命令和数据传输。