FFSN动态恶意域名检测系统白皮书.pdfVIP

FFSN 动态恶意域名检测系统 技术白皮书 国和信诚（北京）信息安全技术服务中心 目录 1 什么是动态恶意域名3 1.1 背景3 1.2 什么是动态恶意域名3 1.3 检测动态恶意域名服务网络的意义4 2 如何检测动态恶意域名服务网络5 2.1.1 动态恶意域名服务网络工作原理5 2.1.2 如何检测动态恶意域名服务网络5 2.1.3 检测、阻断动态恶意域名服务网络的工作流程 6 3 FFSN 动态恶意域名检测系统功能介绍8 3.1 产品架构8 3.2 功能模块划分9 3.3 功能介绍 10 3.3.1 恶意域名检测功能 11 3.3.2 域名管理功能 14 3.3.3 系统维护功能 17 3.3.4 辅助工具21 4 FFSN 动态恶意域名检测系统部署 23 5 FFSN 动态恶意域名检测系统性能指标 24 1 什么是动态恶意域名 1.1背景 随着互联网的普及，访问各式各样的网络域名已成为了大家日常生活、办公 中不可或缺的一部分。在互联网的世界里，网络域名如同居民身份证一样是网络 身份的唯一标示，但在现实社会中公安部门会对居民身份进行严格有效地管理， 而网络世界中注册域名则是十分简单的，国际上有些不良机构为了利益甚至会在 不做任何审核的情况下，办理域名注册业务。 松散的域名注册管理制度，国际化的域名注册模式，网络域名注册地与计算 机所在的物理地址不一致甚至存在跨国、跨州的实际情况，在上述原因的共同作 用下，利用假身份注册网络域名，利用不同物理位置的计算机使用注册的网络域 名发起网络攻击成为了网络犯罪集团当下使用最多的攻击模式。 1.2什么是动态恶意域名 恶意域名是指被网络犯罪人员注册的，用于发起网络攻击或其它违法犯罪活 动的互联网域名。 动态恶意域名是指网络犯罪人员拥有多个互联网域名，通过动态负载均衡技 术同时或轮换使用域名，以达到发起网络攻击的同时隐藏攻击机所在的实际位置 及避免被防火墙等安防设备阻断的目的。 “传统”的网络犯罪活动（如经典的钓鱼网站）需要攻击者控制一个或者更 多的受害计算机系统，并架设一个欺骗性的网站，然后利用其它受控主机或僵尸 网络通过垃圾邮件方式或者更多其它的方式（比如钓鱼网站）发送恶意内容到受 害计算机系统。具有恶意内容的计算机系统可以被公开的域名或者通过电子邮件 包含的 IP 地址所标识。这种伎俩很快就会被安全专家识别并关闭恶意网站。由 于这些钓鱼网站的平均存活时间被缩短，犯罪者开始增加一些保护层，比如混淆 服务器地址或者利用一组代理服务器实现网络重定向。这样的系统有一定的局限 性，通过国际合作仍然可以很快被追踪到。 随着网络犯罪技术的发展，一种被称之为动态恶意域名服务网络的技术应用 日益增多。动态恶意域名服务网络是由攻击者构建的计算机网络及数量巨大的被 攻陷控制的互联网终端（简称肉鸡）共同组成。一个中等规模的动态域名服务网 络，通常会维持几万到几十万的可用肉鸡数量。攻击者会通过自身的计算机网络 远程控制大量的肉鸡对目标发起攻击，攻击过程中会保持肉鸡的互联网域名保持 持续变化状态（每隔几分钟或几个小时变化一次）。这种攻击模式使得攻击者的 犯罪行为很难被追踪，同时也很难通过防火墙阻断域名对应的 IP 地址因为它们 的数量实在是太庞大了。 1.3检测动态恶意域名服务网络的意义 由于动态恶意域名服务网络目前已成为木马攻击、间谍行为的重要技术手段 之一。检测动态恶意域名服务网络可以有效的发现网络中是否存在木马、间谍软 件行为，帮助用户应对因木马攻击、间谍软件引起的信息泄露危机。 2 如何检测动态恶意域名服务网络 2.1.1 动态恶意域名服务网络工作原理 动态恶意域名服务网络的核心目的是为一个域名分配多个（几百个甚至几千 个）IP 地址，通过高频率的更换域名所对应IP 地址以达到防止被攻击者反向追 踪，防止被防火墙阻断连接的目的。 同时动态恶意域名服务网络为了避免被防病毒、入侵检测等安全产品的检测 查杀，其充分利