域名識(shí)別與分析概述

1、技術(shù)創(chuàng)新，變革未來(lái)域名識(shí)別與分析概述預(yù) 測(cè) 發(fā) 現(xiàn) 未 知 威 脅 的 能 力c i r r u s g a t e . c om1 有 大 數(shù) 據(jù) 就 足 夠 了 嗎？大只海見(jiàn)撈森針林c i r r u s g a t e . c om2 發(fā) 現(xiàn) 未 知 威 脅 ， 你 需 要 一 條 線 索c i r r u s g a t e . c om3 n f c x h x d t t c . c nc i r r u s g a t e . c om4 n f c x h x d t t c . c n2015年 6月 21日 - 內(nèi) 網(wǎng) DNS 解 析 請(qǐng) 求c i r r u s g a

2、t e . c om5 C o n f i c k e rc i r r u s g a t e . c om6 隨機(jī)生成 50,00 0 個(gè)域名/ 天11 0 個(gè)TLD 隨機(jī)嘗試連接 50 0 個(gè)/ 天隨機(jī)生成 25 0 個(gè)域名/ 天5 個(gè)TLD 嘗試連接所有域名. A. D2 0 0 8 年 1 1 月n f c x h x d t t c . c n1 9 2 . 1 6 8 . 2 0 . 1 5 7域 名 解 析 請(qǐng) 求DN S 日 志終 端 Z跟 蹤 線 索 定 位 威 脅C S I R T 檢測(cè) c i r r u s g a t e . c om7 確定 C o n f i c

3、 k e r 感染 線 索異 常文 件行 為流 量應(yīng) 用數(shù) 據(jù) 分 析 引 擎c i r r u s g a t e . c om8 發(fā) 現(xiàn) 未 知 威 脅 ， 你 需 要 一 條 線 索線索與威脅情報(bào)Domain Name Object n f c x h x d t t c . c n更多信息逐步加入 c i r r u s g a t e . c om9 域 名 生 成 算 法 DGA 用于 C&C 聯(lián) 絡(luò)c i r r u s g a t e . c om10 Cryptolocker rosfjxmtnwxynff.ru spvkivucmxqfcee.co.uk vtxlfehkk

4、meikgx.ru wuakenyanxyybtr.co.uk Gameover Zeus 9 1 4 2DNS 隱 蔽 隧 道 上 傳 關(guān) 鍵 數(shù) 據(jù)c i r r u s g a t e . c om11 上傳關(guān)鍵數(shù)據(jù)的線索 殺毒軟件合法回傳樣本特征16-0.19-FrameworkPOS 木馬上傳信用卡數(shù)據(jù)UniqueID.beacon.Encoded IP.Encoded Hostname.C&C Server.TLDUniqueID.alert.Encoded App Name.C&C Server.TLDUniqueID.Encoded Credit Card Data.Encod

5、ed Credit Card Data.C&CServer.TLDDomai nShadowing域名陰影， 利用失竊口令的正常域名賬戶， 大量創(chuàng)建子域名進(jìn)行釣魚(yú)攻 擊。此惡意攻擊手法非常有效且難以遏止。因?yàn)榉烙綗o(wú)法獲悉下一個(gè) 被黑客利用的賬戶， 所以幾乎沒(méi)有辦法預(yù)測(cè)下一個(gè)受害者。c i r r u s g a t e . c om12 采 用 混 淆 手 法 的 釣 魚(yú) 域 名c i r r u s g a t e . c om13 利 用 TXT 記 錄下 載 指 令 和 payloa dUpdating Of Malicious Code Patterns Using Public D

6、NS ServersUnited States Patent US8171467c i r r u s g a t e . c om14 惡 意 域 名 作 為 線 索難以發(fā)音閱讀無(wú)法記憶內(nèi)容無(wú)意義惡意使用記錄的特征明顯創(chuàng)建時(shí)間短，使用不頻繁正常 符合語(yǔ)言習(xí)慣容易記憶有語(yǔ)義特征使用記錄符合通常習(xí)慣時(shí)間長(zhǎng)，使用穩(wěn)定異常 c i r r u s g a t e . c om15 企 業(yè) 內(nèi) 發(fā) 現(xiàn) 惡 意 域 名 的 價(jià) 值 極 高c i r r u s g a t e . c om16 直指被入侵設(shè)備 發(fā)現(xiàn)未 能 防御的未知威脅 關(guān)聯(lián)性和及時(shí)性完勝信譽(yù)庫(kù) 基 于 已 知 特 征 的 信 譽(yù) 庫(kù)

7、的 實(shí) 際 效 果 如 何 ?c i r r u s g a t e . c om17 B i t . l y 對(duì)流行信譽(yù)庫(kù)的實(shí)際測(cè)試 惡意網(wǎng)址識(shí)別率 1 4 %2 8 %c i r r u s g a t e . c om18 自 然 語(yǔ) 言 處 理機(jī) 器 學(xué) 習(xí)數(shù) 據(jù) 挖 掘c i r r u s g a t e . c om19 利 用 先 進(jìn) 技 術(shù)在 海 量 D N S 數(shù) 據(jù) 中 發(fā) 現(xiàn) 惡 意 域 名N-gramsRandom ForestLevenshteinDistance自有算法庫(kù) c i r r u s g a t e . c om20 C 4 . 5Adaboostin

8、gWord Segmentation算 法 組 合 與 特 征 選 取發(fā) 現(xiàn) 異 常 域 名 就 結(jié) 束 了 嗎 ？c i r r u s g a t e . c om21 4 0 0 0 萬(wàn)某省 24 小時(shí)唯一域名數(shù)量 6 0 萬(wàn)發(fā)現(xiàn)異常域名數(shù)量 幫 助 安 全 人 員 更 好 地 使 用 線 索 ：惡 意 域 名 分 類 分 析c i r r u s g a t e . c om22 4000 萬(wàn)某省 24 小時(shí)唯一域名數(shù)量 c i r r u s g a t e . c om23 60 萬(wàn)發(fā)現(xiàn)異常域名數(shù)量 100異常域名分類線索 數(shù) 量 級(jí) 要 降 到 安 全 人 員 可 以 分 析發(fā)

9、現(xiàn) DNS 隱 蔽 信 道 下 載 payloa dc i r r u s g a t e . c om24 TX T 記 錄 長(zhǎng) 度 有 限 ， 需 要 多 次 查詢 才 能 拼 接 p ay l o a d同 一 終 端 頻 繁 發(fā) 送 同 源 惡 意 域 名 解 析 請(qǐng) 求自 動(dòng) 批 量 查 詢 同 源 惡 意 域 名 組 TX T 記錄 是否存在多個(gè) 下載 數(shù) 據(jù) 長(zhǎng) 度 超 過(guò) 100 字 符 情 景與 正 常 記 錄 不 同 的 字 符 使用 組合 計(jì) 算 節(jié) 點(diǎn) 橫 向 擴(kuò) 展 配 置 簡(jiǎn) 單算 法 和 規(guī) 則 庫(kù) 升 級(jí) 快 速 便 捷高 性 能嵌 入 式易 擴(kuò) 展c i r

10、r u s g a t e . c om25 單線程性能： 2 0 萬(wàn)條 / 秒模塊化嵌入 SIEM 、NGFW 、AV 、Sandbox 等小型化 、輕 資 源 消 耗應(yīng) 用 場(chǎng) 景 廣 泛 才 能 成 功拼 音 和 數(shù) 字 域 名（360 、51 、kaixin001）白 名 單 的 稀 缺 和 不 可 靠缺 少 可 供 機(jī) 器 學(xué) 習(xí) 的 國(guó) 內(nèi) 樣 本不 規(guī) 范 的 域 名 濫 用 現(xiàn) 象（ ）易 用 的 人 機(jī) 交 互 界 面c i r r u s g a t e . c om26 產(chǎn) 品 化 中 的 工 程 難 點(diǎn)復(fù) 雜 的 域 名 生 態(tài) 環(huán) 境 ： 經(jīng) 驗(yàn) 與 知 識(shí) 的 積 累c i r r u s g a t e . c om27 應(yīng) 對(duì) 高 級(jí) DGA 算 法 帶 來(lái) 的 新 挑 戰(zhàn)c i r r u s g a t e . c om28 l i v ea p pu p d a t el o g i ns e r v i c ea c c o u n t+Pa y Pa l +a p i sc h e c k i n gs h 0 pc o n t e n tt r a n s f e rr e p o r tc u s t o m e rc 1 i e n tm a n a g e rf e e d b a c kt r