Il nome della rosa – ovvero come l’analisi statistica dei nomi di dominio sveli il significato di ciò che si svolge dietro le quinte

Il Domain Name System (DNS) rappresenta uno dei principali pilastri dell'infrastruttura di Internet. Fornisce non solo una struttura di indirizzi IP (e viceversa), ma rappresenta invece la pietra angolare su cui è costruito un certo numero di servizi, compresi quelli che supportano le applicazioni di sicurezza informatica. Sfortunatamente, è una risorsa fondamentale anche per i criminali informatici, dal momento che la maggior parte degli attacchi informatici oggigiorno include una forma di abuso di un nome di dominio o del servizio DNS. Pertanto, il monitoraggio e l'analisi del DNS rappresentano un passo fondamentale verso la rapida individuazione e reazione agli attacchi informatici. Durante questo intervento, verrà offerta una rapida panoramica delle minacce diffuse sul DNS e esempi pratici di come l'apprendimento automatico e l'intelligenza artificiale possano essere utilizzati per rilevare nomi di domini dannosi e quindi attacchi. Partiremo con il ricapitolare i fondamenti del sistema DNS e mostreremo esempi di attacchi reali in cui il DNS viene abusato o utilizzato in modo opportunistico. Quindi, affronteremo molte delle tecniche di attacco DNS utilizzate che vengono utilizzate dai criminali informatici per diffondere malware, campagne di phishing e una vasta gamma di truffe. Per ciascuna tecnica, verranno fornite le nozioni fondamentali su come avvengono gli attacchi e nozioni di base sugli approcci di rilevamento più recenti proposti in letteratura. Verranno forniti esempi pratici di attacchi scoperti nel traffico di rete di una grande università italiana, al fine di dimostrare come il monitoraggio del servizio DNS mediante algoritmi intelligenti e avanzati rappresenti uno strumento strategico per gestire la complessità della rete GARR e garantire la sicurezza (cibernetica) dei propri utenti.

The name of the Rose – What statistical analysis can reveal about the threats hiding behind domain names

The Domain Name System (DNS) represents one of the main pillars of the Internet infrastructure. It provides in fact not only a facility of translation from domain names to IP addresses (and vice-versa), but instead represents the cornerstone on which a number of services is built, including services supporting cyber-security applications. Unfortunately, such a powerful infrastructure represents a key asset also for cyber-criminals, since the largest fraction of the cyber-attacks nowadays involves a form of abuse of a domain name or of the DNS service. Thus, monitoring and analysing the DNS traffic represents a fundamental step toward the prompt detection and reaction to cyber-attacks. During this talk, a quick overview of widespread threats affecting the DNS service will be offered, as well as practical examples of how machine learning and artificial intelligence can be used to detect malicious domain names and thus attacks leveraging the DNS. The talk will start with a short recap of the fundamentals of the DNS system, and will then show examples of real attacks where the DNS is either abused or opportunistically used. Then it will cover some largely used DNS attack techniques which are regularly used by cybercriminals to spread malware, for phishing campaigns and for a broad range of scams. For each technique, fundamentals of how the attack work will be provided as well as basic notions of the most recent detection approaches proposed in the literature. Practical examples of attacks discovered in the network traffic of a major Italian university will be provided, in order to demonstrate how the monitoring of the DNS service by the means of intelligent and advanced algorithms represents a strategic tool to manage the complexity of the GARR network and ensure the (cyber)security of its users.