Solução para detecção de tunelamento DNS em ambiente de nuvem computacional
Autor(a)
Borges, Lorena de Souza Bezerra
Orientador(a) Coorientador(a)
Sousa Júnior, Rafael Timóteo de||Albuquerque, Robson de Oliveira
Contato email
lorenabez@gmail.com
Data de aceite
2023-06-26
Data de disponibilizacao
2023-06-26
Data de publicacao
2023-06-26
Data de defesa submissao
2022-12-13
Citacao
BORGES, Lorena de Souza Bezerra. Solução para detecção de tunelamento DNS em ambiente de nuvem computacional. 2022. xi, 85 f., il. Dissertação (Mestrado em Engenharia Elétrica) — Universidade de Brasília, Brasília, 2022.
Dissertação (mestrado) — Universidade de Brasília, Faculdade de Tecnologia, Departamento de Engenharia Elétrica, 2022.
Resumo Portugues
O tunelamento DNS usa recursos do protocolo DNS para estabelecer canais de comando e controle (C2),
podendo ser utilizado como uma ferramenta maliciosa para exfiltração de dados. Atualmente, as ameaças cibernéticas usando túneis DNS afetam sistemas multiplataforma, explorando recursos computacionais
locais e em nuvem. Muitos estudos de detecção de tunelamento DNS combinam técnicas de extração de
parâmetros e algoritmos de machine learning (ML), alcançando elevados níveis de acurácia. Entretanto,
treinar modelos de ML em larga escala e em tempo real, continua sendo um desafio operacional e de alto
custo computacional para muitas instituições. Este estudo propõe uma metodologia para detecção de tunelamento DNS, através de coletas de recursos híbridos, utilizando algoritmos não-supervisionados para
identificação de anomalias. A validação utiliza tráfego e consultas DNS coletados à partir da plataforma
em nuvem AWS para construção de um dataset. Foram feitas análises para situações práticas de C2, exfiltração e infiltração de dados, testes de verificação de túneis, além de transferências de dados leves e
reduzido número de requisições DNS. Os resultados para as detecções de anomalias foram efetivos para
ferramentas de tunelamento DNS como Iodine, Dnscat2, DNSExfiltrator, DNSStager e o utilitário Flightsim. O modelo proposto tem uma abordagem operacional e modular, com a possibilidade de adaptação
para diversas plataformas de computação em nuvem, integrando registros de recursos locais (on-premise),
para assim, compor sistemas de controles de segurança nas organizações.
Resumo Ingles
DNS tunneling uses DNS protocol features to establish command and control channels, thus being possibly
exploited as a malicious tool for data exfiltration. Nowadays, security threats using DNS tunneling affect
cross-platform systems within local and cloud computing resources. Many DNS tunnel detection studies
combine feature extraction techniques and machine learning (ML) algorithms to achieve high levels of
accuracy. However, training ML models on a large scale and in real-time remains an operational challenge
and high computational cost for many institutions. This work proposes a methodology for DNS tunneling
detection through hybrid resource collections using unsupervised anomaly detection algorithms. The validation uses collected DNS traffic from the AWS cloud computing platform to construct a dataset. The
study shows the practical approach for C2, data exfiltration, infiltration, and heartbeat tunnel test situations,
as high levels of anomaly detection are obtained even for those lightweight data during the transfer process,
with a reduced number of DNS queries. The anomalies were effective for DNS tunneling tools like Iodine,
Dnscat2, DNSExfiltrator, DNSStager, and Flightsim utility. The proposed model has an operational and
modular approach and can be adapted to different cloud computing platforms, integrating on-premise logs
resources, therefore, composing security control systems in organizations.
Unidade academica
Faculdade de Tecnologia (FT)
Departamento
Departamento de Engenharia Elétrica (FT ENE)
Programa de Pos-Graduacao
Programa de Pós-Graduação em Engenharia Elétrica, Mestrado Profissional
Idioma
por
Tipo de documento
Dissertação
Formato
application/pdf
Direitos de acesso
Acesso Aberto
Palavras-chave
Tunelamento||Canais de comando||Canais de controle||Aprendizagem de máquina||Protocolo Domain Name System (DNS)
