Het gebruik van machine learning voor het detecteren en genereren van DGA-domeinnamen

Abstract

Het IT-bedrijf Cegeka is een technologische dienstverlener en begeleidt en levert software- en infrastructuuroplossingen, end-to-end IT-oplossingen met bijbehorende kwalitatieve diensten & consultancy aan zijn klanten. Cegeka beheert heel veel netwerkinfrastructuur. Het wordt alsmaar belangrijker deze infrastructuur goed te beveiligen. Een van de methoden is het detecteren van Domain Generation Algorithm (DGA) domeinnamen die via DNS-verzoeken gebeuren. Malware kan deze domeinnamen gebruiken voor botnetcommunicatie. Deze studie is onderverdeeld in twee delen. Het eerste deel is het bouwen van een detectiesysteem voor het detecteren van DGA-domeinnamen. Een machine learning-model detecteert DGA-domeinnamen in DNS-logboeken. Het machine learning-model is geïmplementeerd in Splunk. Cegeka gebruikt Splunk voor het verzamelen van netwerkdata van hun systemen. Het tweede luik van dit project is het genereren van DGA-domeinnamen met behulp van een Generative Adversarial Network (GAN). Deze gegenereerde domeinnamen zijn door het GAN zo gebouwd zodat ze het detectiesysteem zouden omzeilen. Uit de resultaten van de door machine learning gegenereerde domeinnamen is het detectiesysteem aangepast. De trainingset is onderverdeeld in een reeks DGA-domeinnamen en een reeks legitieme domeinnamen. Het aantal DGA-domeinnamen in de trainingset werd vergroot. Nieuwe testen tonen dat door een GAN gegenereerde domeinnamen deels kunnen gedetecteerd worden.