面向安全分析的大规模网络下的DNS流量还原系统

doi:10.3969/j.issn.1671-1122.2019.05.010

信息网络安全 ›› 2019, Vol. 19 ›› Issue (5): 77-83.doi: 10.3969/j.issn.1671-1122.2019.05.010

面向安全分析的大规模网络下的DNS流量还原系统

文奕¹(), 陈兴蜀¹, 曾雪梅², 罗永刚²

1. 四川大学网络空间安全学院,四川成都 610000
2. 四川大学网络空间安全研究院,四川成都 610000

收稿日期:2018-12-10 出版日期:2019-05-10 发布日期:2020-05-11
作者简介:
作者简介：文奕（1996—）,男,四川,硕士研究生,主要研究方向为网络行为分析;陈兴蜀（1968—）,女,四川,教授,博士,主要研究方向为云计算、信息安全;曾雪梅（1976—）,女,四川,工程师,硕士,主要研究方向为网络行为和大数据安全分析;罗永刚（1980—）,男,贵州,助理研究员,博士,主要研究方向为大数据安全。
基金资助:
国家自然科学基金[61272447];国家“双创”示范基地项目[C700011];四川省科技支撑计划[2016GZ0038];四川省重点研发项目[2018G20100];中央高校基本科研业务费项目[SCU2016D009,2017SCU11065]

DNS Protocol Restore System for Security Analysis Based on Large-scale Network

Yi WEN¹(), Xingshu CHEN¹, Xuemei ZENG², Yonggang LUO²

1. College of Cyber Security, Sichuan University, Chengdu Sichuan 610000, China
2. Cyber Security Research Institute, Sichuan University, Chengdu Sichuan 610000, China

Received:2018-12-10 Online:2019-05-10 Published:2020-05-11

摘要/Abstract

摘要：

网络流量还原是网络安全分析的基础,文章针对大数据网络环境下对于海量数据实时响应的需求,提出一种基于Storm流式处理框架的面向安全分析的DNS协议实时还原系统。该系统从消息系统获取原始数据包,逐层对数据包进行解析,将还原完成的DNS数据信息进行序列化处理并发布至消息系统,以供后续安全分析。在DNS还原的基础上,对于DNS还原中存在的利用协议特性格式异常的数据进行研究,在还原系统的基础上,增加对以下三类异常DNS数据包的识别功能：异常DNS格式的数据包,利用UDP松弛空间注入传递额外信息的数据包,利用Null字符欺骗隐藏恶意域名信息的数据包。该系统在10 Gbps的真实大数据网络环境中具有高效实时的处理能力,平均处理延迟在5 ms以内,并具有对异常DNS数据包的识别处理能力。

关键词: DNS, 协议还原, Storm, 大数据, 流式处理

Abstract:

Network traffic restoration is the foundation of network security analysis. A DNS protocol restoration systemfor security analysis based on Storm was proposed aiming at the real-time response to massive data in big data network environment. The system obtains original data packets from the message system, parses the data packet layer by layer, and serializes the restored DNS data to the message system for subsequent security analysis. Based on the restoration, the data which used the protocol’s vulnerabilities or had an abnormal format would be researched and the system has the function to tell the packets which are abnormal in format, using UDP’s relaxation space injection or using Null to cheat and send message. The results of the experiment showed that the system had efficient real-time processing capabilities in the 10Gbps real big data network environment with the average processing delay within 5ms, and the ability to recognize and process abnormally formatted DNS packets.

Key words: DNS, protocol restore, storm, big data, streaming processing

中图分类号:

TP309

文奕, 陈兴蜀, 曾雪梅, 罗永刚. 面向安全分析的大规模网络下的DNS流量还原系统[J]. 信息网络安全, 2019, 19(5): 77-83.

Yi WEN, Xingshu CHEN, Xuemei ZENG, Yonggang LUO. DNS Protocol Restore System for Security Analysis Based on Large-scale Network[J]. Netinfo Security, 2019, 19(5): 77-83.

图/表 10

图1

图2

图3

图4

图5

表1

表2

图6

表3

图7

参考文献 16

[1]	LI Juntao, SHI Yong, XUE Zhi.APT Detection based on DNS Traffic and Threat Intelligence[J]. Information Security and Communications Privacy, 2016, 16(7): 84-88.
	李骏韬,施勇,薛质.基于DNS流量和威胁情报的APT检测[J]. 信息安全与通信保密,2016,16(7):84-88.
[2]	NUSSBAUM L, NEYRON P, RICHARD O.On Robust Covert Channels inside DNS[C]//IFIP. 24th IFIP TC 11 International Information Security Conference, May 18-20, 2009, Pafos, Cyprus. Berlin: Springer, 2009: 51-62.
[3]	GU Chuanzheng, WANG Yijun, XUE Zhi.Study on Covert Channel based on the DNS Protocol[J]. Information Security and Communications Privacy, 2012, 12(1): 81-82, 85.
	谷传征,王轶骏,薛质.基于DNS 协议的隐蔽信道研究[J]. 信息安全与通信保密,2012,12(1):81-82,85.
[4]	ZHANG Siyu, ZOU Futai, WANG Luhua, et al.Detecting DNS-based Covert Channel on Live Traffic[J]. Journal on Communications. 2013, 34(5): 143-151
	章思宇,邹福泰,王鲁华,等.基于DNS 的隐蔽通道流量检测[J]. 通信学报,2013,34(5):143-151.
[5]	ZHANG Siyu, WANG Luhua, ZOU Futai.Evading DNS Monitoring System with NULL Character[J]. Netinfo Security, 2012, 12(4): 47-50.
	章思宇,王鲁华,邹福泰. NULL字符欺骗 DNS 监控系统的研究[J]. 信息网络安全,2012,12(4):47-50.
[6]	BORN K. PSUDP: A Passive Approach to Network-wide Covert Communication [EB/OL]. , 2010-7-10.
[7]	China Internet Network Information. The 41th Statistical Report on Internet Development in China[EB/OL]. , 2018-3-5.
[8]	LEIBIUSKY J, EISBRUCH G, SIMONASSI D.Getting Started With Storm[M]. US: O’Reilly Media, 2012.
[9]	WU G.Spark: the Light of Big Data Era[J]. Programmer, 2013, 13(7): 100-104.
[10]	WANG Mingkun, YUAN Shaoguang, ZHU Yongli, et al.Real-time Clustering for Massive Data Using Storm[J]. Journal of Computer Applications, 2014, 34(11): 3078-3081.
	王铭坤,袁少光,朱永利,等.基于Storm的海量数据实时聚类[J]. 计算机应用,2014,34(11):3078-3081.
[11]	CHEN Xingshu, WANG Yue, LUO Yonggang, et al.Protocol Restore Framework Based on Storm[J]. Journal of Huazhong University of Science and Technology(Natural Science Edition), 2018, 46(1): 1-5, 21.
	陈兴蜀,王岳,罗永刚,等.基于Storm的协议还原框架[J]. 华中科技大学学报(自然科学版),2018,46(1):1-5,21.
[12]	The Apache Software Foundation. Apache Zookeeper[EB/OL]. , 2010-7-15.
[13]	ANDERSON Q.Storm Real-time Processing Cookbook[M]. Birmingham: PacktPublishing, 2013.
[14]	MOCKAPETRIS P. RFC1034 Domain Names-Concepts and Facilities[EB/OL]. , 1987-10-16.
[15]	MOCKAPETRIS P. RFC1035 Domain Names-Implementation and Specification[EB/OL]. , 1987-10-16.
[16]	MARLINSPIKE M. Null Prefix Attacks Against SSL/TLS Certificates[EB/OL]. , 2009-7-29/2012-2-23.

服务器	CPU主频/GHz	CPU核数	内存/GB	硬盘/TB
1	3.5	8	128	1
2	2.4	20	256	16
3	2.5	8	128	8
4	2.5	8	32	1

时间窗口	总包数	DNS回复包数量	解析异常比
1 min	2,850,000	257,181	0.613%
10 min	28,894,000	2,343,545	0.661%
2 hour	349,176,000	27,662,412	0.922%
1 day	3,057,770,000	318,841,632	0.781%

检测工具	NULL字符欺骗	UDP松弛空间注入
Wireshark	异常（格式错误）	无异常
Dnstop	无异常	无异常
Tcpdump	无异常	无异常
本文方法	异常（Null字符欺骗）	异常（UDP松弛空间注入）

面向安全分析的大规模网络下的DNS流量还原系统

DNS Protocol Restore System for Security Analysis Based on Large-scale Network

RichHTML

PDF (PC)

可视化

摘要/Abstract

引用本文

使用本文

图/表 10

参考文献 16

相关文章 15

编辑推荐

Metrics

本文评价

[1]	纪兆轩, 杨秩, 孙瑜, 单亦伟. 大数据环境下SHA1的GPU高速实现[J]. 信息网络安全, 2020, 20(2): 75-82.
[2]	谢永恒, 冯宇波, 董清风, 王梅. 基于深度学习的数据接入方法研究[J]. 信息网络安全, 2019, 19(9): 36-40.
[3]	岳巧丽, 吕万波, 胡卫宏, 张海阔. 基于DNS应答价值评估的DDoS防御研究[J]. 信息网络安全, 2019, 19(9): 56-60.
[4]	章航, 郑荣锋, 彭华, 刘嘉勇. 基于请求域名的DNS隐蔽通道检测方法研究[J]. 信息网络安全, 2019, 19(8): 76-82.
[5]	吴天雄, 陈兴蜀, 罗永刚. 大数据平台下应用程序保护机制的研究与实现[J]. 信息网络安全, 2019, 19(1): 68-75.
[6]	胡荣磊, 何艳琼, 曾萍, 范晓红. 一种大数据环境下医疗隐私保护方案设计与实现[J]. 信息网络安全, 2018, 18(9): 48-54.
[7]	冯新扬, 沈建京. 一种基于Yarn云计算平台与NMF的大数据聚类算法[J]. 信息网络安全, 2018, 18(8): 43-49.
[8]	陶源, 黄涛, 张墨涵, 黎水林. 网络安全态势感知关键技术研究及发展趋势分析[J]. 信息网络安全, 2018, 18(8): 79-85.
[9]	游林, 梁家豪. 基于同态加密与生物特征的安全身份认证研究[J]. 信息网络安全, 2018, 18(4): 1-8.
[10]	鲁秀青, 咸鹤群. 云存储中基于用户授权的大数据完整性审计方案[J]. 信息网络安全, 2018, 18(4): 32-37.
[11]	朱毅, 陈兴蜀, 陈敬涵, 邵国林. 基于模糊综合评价模型的DNS健康度评估[J]. 信息网络安全, 2018, 18(4): 65-71.
[12]	郭敏, 曾颖明, 姚金利, 达小文. 基于大数据样本的软件行为安全分析[J]. 信息网络安全, 2017, 17(9): 153-156.
[13]	陈阳, 王勇, 孙伟. 基于YARN规范的智能电网大数据异常检测[J]. 信息网络安全, 2017, 17(7): 11-17.
[14]	王文杰, 胡柏青, 刘驰. 开源大数据治理与安全软件综述[J]. 信息网络安全, 2017, 17(5): 28-36.
[15]	薛丽敏, 吴琦, 李骏. 面向专用信息获取的用户定制主题网络爬虫技术研究[J]. 信息网络安全, 2017, 17(2): 12-21.