Autorzy badania zaproponowali blokowanie domen generowanych przez DGA na poziomie rejestrów domen i udostępnili bazę DGArchive, pozwalającą sprawdzić, czy dana domena pochodzi z DGA, oraz generować listy domen do blokowania.
DGA można też wykrywać w ruchu sieciowym bez znajomości algorytmu. Stosuje się m.in. statystyczną analizę nazw domen, np. rozkładu znaków, n-gramów, entropii i długościUSENIX 2016, s. 266.. W 14 z 43 zbadanych algorytmów wszystkie generowane domeny mają tę samą długość. Większość generowanych domen nie jest zarejestrowana, dlatego serwer DNS zwraca dla nich odpowiedź NXDOMAIN, a nietypowo dużo takich odpowiedzi może świadczyć o infekcjiUSENIX 2016, s. 276.. Na tym założeniu oparto m.in. system Pleiades, który w ruchu dużego dostawcy internetu wykrył sześć nieznanych wcześniej algorytmów DGA.
Zobacz też botnet DNS sinkhole
Przypisy
Bibliografia
Kategoria:Złośliwe oprogramowanie Kategoria:Domain Name System