Ανίχνευση Κίνησης DGA-Based Botnet με Μεθόδους Federated Learning

Abstract

Σήµερα, ένα µεγάλο ποσοστό των botnets χρησιµοποιούν Domain Generation Algorithms (DGAs), για να αποκρύπτουν την ταυτότητά τους µέσω της περιοδικής εναλλαγής του domain name που εκχωρείται στον C&C server. Σηµαντικό ϱόλο στην υλοποίηση των DGA παίζει το πρωτόκολλο DNS, του οποίου η κίνηση δεν αποκόπτεται από τα firewalls. Με την τεχνική αυτή, η κακόβουλη κίνηση µπορεί να παρακάµπτει τα στατικά συστήµατα ασφαλείας, ενώ ο εντοπισµός του C&C και η αποκοπή του από τα bots του καθίσταται εξαιρετικά απαιτητική διαδικασία. ΄Εχει παρατηρηθεί ότι η µορφή των domain names που παράγονται από DGA διαφέρει σηµαντικά από αυτή των νόµιµων ονοµάτων. Εκµεταλλευόµενοι την πληροφορία αυτή πολλοί ερευνητές έχουν στραφεί στην ανάπτυξη ταξινομητών µε µεθόδους Deep Learning, µε απώτερο σκοπό την ανίχνευση αλγοριθµικά παραγόµενων domain names. Συνήθως για την εκπαίδευση των ανιχνευτών χρησιµοποιούνται δεδοµένα που προκύπτουν από την ανάλυση εγγραφών Passive DNS. Ωστόσο, η καταπολέµηση των botnets που ϐασίζονται σε DGA, είναι µια πρόκληση την οποία για να ξεπεράσουν οι οργανισµοί ασφαλείας συχνά χρειάζεται να συνεργαστούν και πιθανώς να µοιραστούν τα δεδοµένα που διαθέτουν, για την εκπαίδευση αρτιότερων και πιο ενηµερωµένων µοντέλων. Εντούτοις, κάτω από τις παραδοσιακές συνθήκες εκπαίδευσης µε Distributed Deep Learning, όπου τα δεδοµένα εκπαίδευσης εκτίθενται σε έναν κεντρικό server, ο εµπορικός ανταγωνισµός και τα αυστηρά πρωτόκολλα ιδιωτικότητας αποτελούν τροχοπέδη στη συνεργασία αυτή. Προκειµένου να εξαλείψουµε τις ανησυχίες σχετικά µε το απόρρητο και την ασφάλεια των δεδοµένων, προτείνουµε σε αυτή τη διπλωµατική ένα περιϐάλλον συνεργατικής εκπαίδευσης που ϐασίζεται στη σύγχρονη αρχιτεκτονική του Federated Learning. Κατά την εκπαίδευση µε Federated Learning, τα µόνα δεδοµένα που ανταλλάσσονται, είναι τα τοπικά µοντέλα που εκπαιδεύονται σε κάθε client και αποστέλλονται σε έναν κεντρικό server για να συµψηφιστούν σε ένα νέο γενικό µοντέλο. Τα δεδοµένα εκπαίδευσης παραµένουν προστατευµένα στις τοπικές συσκευές καθ΄ όλη τη διάρκεια της εκπαίδευσης. Εποµένως, ένα σύστηµα ϐασισµένο σε αυτή τη ϕιλοσοφία ϕαίνεται να ανταποκρίνεται πλήρως στις ανάγκες που περιγράφηκαν προηγουµένως. Για τον λόγο αυτό, αναπτύσσουµε στην παϱούσα διπλωµατική µια πειραµατική διάταξη Federated Learning για την εκπαίδευση τριών Deep Learning µοντέλων (CNN, LSTM, Bidirectional LSTM). Σκοπός µας είναι να εξάγουµε τα απαραίτητα συµπεράσµατα σχετικά µε τις προοπτικές και τους περιορισµούς της τεχνικής αυτής, σε ό,τι αφορά την ανίχνευση DGA domain names.