Mengantisipasi Domain Spam Baru Melalui Pembelajaran Mesin

Peneliti dari Perancis telah mengembangkan metode untuk mengidentifikasi domain yang baru didaftarkan yang kemungkinan akan digunakan dalam mode ‘hit and run’ oleh spammer email volume tinggi – terkadang, bahkan sebelum spammer mengirimkan satu email yang tidak diinginkan.

Teknik ini didasarkan pada analisis cara Sender Policy Framework (SPF), metode verifikasi asal email, telah diatur pada domain yang baru didaftarkan.

Berkat penggunaan pasif DNS (Domain Name System) sensor, peneliti dapat memperoleh data DNS hampir waktu nyata dari perusahaan Farsight yang berbasis di Seattle, menghasilkan aktivitas SPF untuk TXT record untuk berbagai domain.

Menggunakan algoritma bobot kelas yang awalnya dirancang untuk memproses data medis yang tidak seimbang, dan diimplementasikan dalam perpustakaan pembelajaran mesin Python scikit-learn, peneliti dapat mendeteksi tiga perempat dari domain spam yang akan datang dalam beberapa saat, atau bahkan sebelum operasinya dimulai.

Makalah tersebut menyatakan:

‘Dengan satu permintaan ke TXT record, kami mendeteksi 75% dari domain spam, mungkin sebelum dimulainya kampanye spam. Dengan demikian, skema kami membawa kecepatan reaksi yang penting: kami dapat mendeteksi spammer dengan kinerja yang baik bahkan sebelum email dikirim dan sebelum lonjakan lalu lintas DNS.’

Peneliti tersebut mengklaim bahwa fitur yang digunakan dalam teknik mereka dapat ditambahkan ke sistem deteksi spam yang ada untuk meningkatkan kinerja, dan tanpa menambahkan overhead komputasi yang signifikan, karena sistem tersebut bergantung pada data SPF yang diinferensikan secara pasif dari umpan DNS waktu nyata yang sudah digunakan untuk pendekatan yang berbeda terhadap masalah.

Makalah tersebut berjudul Early Detection of Spam Domains with Passive DNS and SPF, dan berasal dari tiga peneliti di Universitas Grenoble.

Aktivitas SPF

SPF dirancang untuk menghindari spoofing alamat email, dengan memverifikasi bahwa alamat IP yang terdaftar dan diotorisasi telah digunakan untuk mengirim email.

Dalam contoh SPF ini, ‘Alice’ mengirim email yang tidak berbahaya kepada ‘Bob’, sementara penyerang ‘Mallory’ mencoba untuk mengimpersonasi Alice. Keduanya mengirim email dari domain mereka sendiri, tetapi hanya server Alice yang terdaftar untuk mengirim email Alice, sehingga spoof Mallory gagal saat verifikasi SPF. Source: https://arxiv.org/pdf/2205.01932.pdf

Metode verifikasi email lainnya termasuk DomainKeys Identified Mail (DKIM) Tanda Tangan, dan Domain-based Message Authentication, Reporting, and Conformance (DMARC).

Ketiga metode tersebut harus didaftarkan sebagai catatan TXT (pengaturan konfigurasi) di registrar domain untuk domain pengirim yang asli.

Spam dan Burn

Spammer menampilkan ‘perilaku tanda tangan’ dalam hal ini. Tujuan mereka (atau, setidaknya, efek sampingan dari aktivitas mereka) adalah untuk ‘membakar’ reputasi domain dan alamat IP dengan mengirim email massal sampai tindakan diambil oleh penyedia jaringan yang menjual layanan ini; atau alamat IP yang terkait didaftarkan dengan daftar spam-filter populer, membuatnya tidak berguna untuk pengirim saat ini (dan bermasalah untuk pemilik IP di masa depan).

Jendela kesempatan yang sempit: waktu, dalam jam, sebelum domain spam baru dilarang dan tidak berguna oleh SpamHaus dan layanan pemantauan lainnya.

Ketika lokasi domain tidak lagi dapat digunakan, spammer pindah ke domain dan layanan lain jika perlu, mengulangi prosedur dengan alamat IP dan konfigurasi baru.

Data dan Metode

Domain yang dipelajari untuk penelitian ini mencakup periode waktu antara Mei dan Agustus 2021, seperti yang disediakan oleh Farsight. Hanya domain yang baru didaftarkan yang dipertimbangkan, karena ini sesuai dengan modus operandi spammer yang persisten.

Daftar domain dibangun dari data ICANN Central Zone Data Service (CZDS). Informasi daftar hitam dari SURBL dan SpamHaus digunakan untuk mengidentifikasi domain baru yang berpotensi bermasalah secara waktu nyata – meskipun penulis mengakui bahwa sifat tidak sempurna dari daftar spam dapat menyebabkan domain yang tidak berbahaya secara tidak sengaja dikategorikan sebagai sumber email massal yang potensial.

Setelah menangkap kueri DNS TXT ke domain yang baru didaftarkan yang ditemukan dalam umpan DNS pasif, hanya kueri dengan data SPF yang valid yang dipertahankan, memberikan kebenaran dasar untuk algoritma.

SPF memiliki sejumlah fitur yang dapat digunakan; makalah baru ini menemukan bahwa sementara pemilik domain ‘baik’ paling umum menggunakan mekanisme +include, spammer memiliki penggunaan tertinggi fitur +ptr yang sudah tidak digunakan lagi.

Penggunaan aturan SPF spammer, dibandingkan dengan penggunaan standar.

Penelitian tersebut menyatakan:

‘Studi struktur ini dapat menyoroti domain spam potensial. Dalam dataset kami, kami menemukan [struktur] di mana puluhan domain menggunakan aturan SPF yang sama dan sebagian besar dari mereka muncul dalam daftar spam. Sehingga, masuk akal untuk mengasumsikan bahwa domain yang tersisa kemungkinan belum terdeteksi atau belum aktif sebagai domain spam.’

Hasil

Peneliti tersebut membandingkan latensi deteksi domain spam dari pendekatan mereka dengan SpamHaus dan SURBL selama periode 50 jam. Mereka melaporkan bahwa untuk 70% dari domain spam yang diidentifikasi, sistem mereka lebih cepat, meskipun mengakui bahwa 26% dari domain spam yang diidentifikasi muncul dalam daftar hitam komersial dalam jam berikutnya. 30% dari domain sudah ada dalam daftar hitam saat mereka muncul dalam umpan DNS pasif.

Penulis mengklaim skor F1 sebesar 79% terhadap kebenaran dasar berdasarkan satu kueri DNS, sementara metode lain seperti Exposure dapat memerlukan analisis awal selama satu minggu.

Mereka mengamati:

‘Skema kami dapat diterapkan pada tahap awal siklus hidup domain: menggunakan DNS pasif (atau aktif), kami dapat memperoleh aturan SPF untuk domain yang baru didaftarkan dan mengklasifikasikannya segera, atau menunggu sampai kami mendeteksi kueri TXT ke domain dan memperbarui klasifikasi menggunakan fitur temporal yang sulit dihindari.’

Dan melanjutkan:

‘[Klasifikasi] terbaik kami mendeteksi 85% dari domain spam sementara menjaga Tingkat Positif Palsu di bawah 1%. Hasil deteksi sangat mengesankan mengingat bahwa klasifikasi hanya menggunakan isi aturan SPF domain dan hubungannya, serta fitur yang sulit dihindari berdasarkan lalu lintas DNS.

‘Kinerja klasifikasi tetap tinggi, bahkan jika mereka hanya diberi fitur statis yang dapat dikumpulkan dari satu kueri TXT (diamati secara pasif atau diquery secara aktif).’

Untuk melihat presentasi tentang metode baru, lihat video yang disematkan di bawah:

Dipublikasikan pertama kali pada 5 Mei 2022.