Predador

Malfeitores registram milhares de novos domínios todos os dias para lançar ataques em escala da Internet, como spam, phishing e downloads automáticos. Determinar rapidamente e com precisão a reputação de um domínio (associação com atividade maliciosa) fornece uma ferramenta poderosa para mitigar ameaças e proteger usuários. No entanto, os sistemas de reputação de domínio existentes funcionam observando o uso do domínio (por exemplo, padrões de consulta, conteúdo hospedado), muitas vezes tarde demais para prevenir que os malfeitores colham os benefícios dos ataques que lançam. Como um complemento a esses sistemas, exploramos até que ponto as características evidentes no registro de domínios indicam o uso subsequente de um domínio para atividade maliciosa. Desenvolvemos o PREDATOR, uma abordagem que utiliza apenas características do momento do registro para estabelecer a reputação do domínio. Baseamos seu design na intuição de que malfeitores precisam obter muitos domínios para garantir lucratividade e agilidade nos ataques, levando a comportamentos de registro anormais (por exemplo, registros em massa, nomes textualmente semelhantes). Avaliamos o PREDATOR utilizando logs de registro de domínios .com e .net de segundo nível ao longo de cinco meses. O PREDATOR alcança uma taxa de detecção de 70% com uma taxa de falsos positivos de 0,35%, tornando-o uma linha de defesa eficaz e antecipada contra o uso indevido de domínios DNS. Ele prevê domínios maliciosos quando são registrados, o que normalmente ocorre dias ou semanas antes das listas negras de DNS existentes.