Uma abordagem do energy-based flow classifier na identificação de tunelamento sobre DNS

Abstract

Aexfiltraçãodedadosemredeéumatécnicaamplamenteutilizadaporagentesmaliciosos para extrair informações sensíveis de sistemas corporativos, representando uma ameaça significativa à confidencialidade, integridade e disponibilidade das organizações. Entre os diversos métodos empregados, o tunelamento sobre Sistemas de Nomes de Domínio (DNS) destaca-se por utilizar o protocolo DNS, fundamental para a operação da internet, como canal encoberto para a transferência de dados, dificultando a detecção por mecanismos tradicionais de segurança. Neste contexto, este trabalho propõe uma abordagem de detecção baseada no modelo de aprendizado de máquina supervisionado denominado Energy-based Flow Classifier (EFC). O EFC é um classificador de inferência estatística baseado na Inversa de Potts, projetado para identificar anomalias em rede a partir de atributos extraídos de registros de fluxo. Foram utilizados três conjuntos de dados distintos, sendo dois deles rotulados e o terceiro empregado como demonstrativo de rotulação supervisionada. Adicionalmente, o estudo realiza comparações entre o EFC e um modelo não supervisionado baseado em Self-Organizing Maps (SOM), bem como com o algoritmo Random Forest, uma técnica clássica amplamente utilizada. Os resultados obtidos mostram que o EFC alcança uma média de acurácia superior a 90% nos processos de treinamento e teste, além de apresentar desempenho competitivo frente ao Random Forest, consolidando-se como uma solução eficaz para detecção de tunelamento sobre DNS e mitigação de exfiltração de dados em redes.