Yeni Spam Alan Adlarını Makine Öğrenimi ile Öngörmek

Fransız araştırmacılar, yüksek hacimli e-posta spamcıları tarafından “hit and run” şeklinde kullanılan yeni kayıtlı alan adlarını tanımlamak için bir yöntem geliştirdiler – bazen, spamcılar istenmeyen bir e-posta göndermeden önce.

Teknik, e-posta kökenini doğrulamak için kullanılan Gönderen Politika Çerçevesi (SPF) adlı bir yöntemin, yeni kayıtlı alan adlarında nasıl kurulduğunu analiz etmeye dayanır.

Seattle merkezli Farsight şirketinden alınan pasif DNS (Domain Name System) sensörleri sayesinde, araştırmacılar yeni kayıtlı alan adları için gần gerçek zamanlı DNS verilerini elde edebildiler ve SPF aktivitesini TXT kayıtları için elde edebildiler.

İlk olarak tıbbi veriler için tasarlanan ve scikit-learn makine öğrenimi Python kütüphanesinde uygulanan bir sınıf ağırlığı algoritması kullanarak, araştırmacılar beklenen spam alan adlarının üçte ikisini saniyeler içinde veya hatta çalışmaya başlamadan önce tespit edebildiler.

Makalede şöyle denir:

‘Tek bir TXT kaydı isteği ile, %75’lik bir oranda spam alan adlarını tespit ediyoruz, muhtemelen spam kampanyasının başlangıcından önce. Böylece, bizim scheme’miz önemli bir tepki hızı sağlar: herhangi bir e-posta gönderilmeden veya DNS trafiğinde bir artış olmadan önce, spamcıları iyi bir performans ile tespit edebiliriz.’

Araştırmacılar, tekniklerinin existing spam tespit sistemlerine entegre edilebileceğini ve önemli bir hesaplama yükü eklenmeden performansı artırabileceğini iddia ediyorlar, çünkü sistem zaten kullanılan farklı yaklaşimlar için near gerçek zamanlı DNS beslemelerinden pasif olarak çıkarılan SPF verilerine dayanır.

Araştırma makale olarak yayınlandı ve Grenoble Üniversitesi’nden üç araştırmacı tarafından yazıldı.

SPF Aktivitesi

SPF, e-posta adreslerinin sahte olmasını önlemek için tasarlanmıştır, kayıtlı ve yetkili bir IP adresinin e-posta göndermek için kullanıldığını doğrular.

Bu SPF örneğinde, ‘Alice’ ‘Bob’a bir e-posta gönderirken, saldırgan ‘Mallory’ Alice’i taklit etmeye çalışır. Her ikisi de kendi alan adlarından e-posta gönderiyorlar, ancak yalnızca Alice’in sunucusu Alice’in e-postasını göndermek için kayıtlıdır, bu nedenle Mallory’nin sahte e-postası SPF doğrulamasında başarısız olduğunda engellenir. Kaynak: https://arxiv.org/pdf/2205.01932.pdf

Diğer e-posta doğrulama yöntemleri arasında DomainKeys Identified Mail (DKIM) imzaları ve Domain-based Message Authentication, Reporting, and Conformance (DMARC) bulunur.

Tüm bu yöntemler, alan adı kaydedicisi tarafından authentik gönderen alan adı için TXT kayıtları (yapılandırma ayarları) olarak kaydedilmelidir.

Spam ve Yanlış Kullanım

Spamcılar bu konuda ‘imza davranışları’ sergilerler. Their amacı (veya en azından faaliyetlerinin yan etkisi) alan adı ve IP adreslerinin itibarını ‘yanarak’ yok etmektir, bu da büyük miktarda e-posta gönderilmesini sağlar, ya da ağ hizmetlerini satan sağlayıcılar tarafından eylem alınması ya da ilgili IP adresleri popüler spam filtre listelerine kaydedilene kadar devam eder, bu da current gönderici için kullanışsız hale gelir ve gelecekteki IP adresleri sahipleri için sorunlu olur.

Dar bir fırsat penceresi: yeni bir spam alan adı yasaklanmadan ve SpamHaus ve diğer izleme hizmetleri tarafından kullanılamaz hale gelmeden önce geçen süre, saat olarak.

Alan adı konumu artık pratik değil olduğunda, spamcılar diğer alan adlarına ve hizmetlere geçer, prosedürü yeni IP adresleri ve yapılandırmalar ile tekrarlar.

Veri ve Yöntemler

Araştırmada incelenen alan adları, Mayıs ve Ağustos 2021 arasında Farsight tarafından sağlanan verileri kapsar. Sadece taze olarak kayıtlı alan adları dikkate alındı, çünkü bu, ısrarlı spamcıların modus operandisine uygun düşer.

Alan adı listesi, ICANN Central Zone Data Service (CZDS) verilerinden oluşturuldu. Potansiyel olarak problemli yeni alan adı kayıtlarının near gerçek zamanlı olarak tanımlanması için SURBL ve SpamHaus projelerinden kara liste bilgileri kullanıldı – yazarlar, spam listelerinin mükemmel olmaması nedeniyle masum alan adlarının yanlış olarak potansiyel bulk e-posta kaynakları olarak kategorize edilebileceğini kabul ediyorlar.

Yeni kayıtlı alan adlarına yapılan DNS TXT sorguları yakalandıktan sonra, yalnızca geçerli SPF verilerine sahip sorgular algoritmalar için temel olarak kaldı.

SPF’nin kullanılabilir özelliklerinden biri, yeni makalede bulunanlar; ‘masum’ alan adı sahiplerinin genellikle +include mekanizmasını kullandığı, spamcıların ise (şimdi geçersiz kılınan) +ptr özelliğinin en yüksek kullanımını yaptığı bulundu.

Spamcıların SPF kural kullanımı, standart kullanımla karşılaştırıldığında.

+ptr araması, gönderen posta sunucusunun IP adresini, hostname (örneğin GoDaddy ) ile ilişkili kayıtlarla karşılaştırır. Hostname keşfedilirse, onun alan adı, SPF kaydına ilk olarak başvurulan alan adı ile karşılaştırılır.

Spamcılar, +ptr’nin görünürdeki rigorunu, aslında +ptr aramaları için gereken kaynakları birçok sağlayıcının atladığından, daha güvenilir bir şekilde görünmek için sömürebilir.

Kısa olarak, spamcılar SPF’yi kullanarak ‘yanıp sönen’ operasyon başlamadan önce bir fırsat penceresi elde etme şekli, makine analizi ile çıkarılabilir bir imza davranışını temsil eder.

Spam alan adları için karakteristik SPF ilişkileri.

Spamcılar genellikle çok yakın IP aralıklarına ve kaynaklara geçer, bu nedenle araştırmacılar, IP aralıkları ve alan adları arasındaki korelasyonu keşfetmek için bir ilişki grafiği geliştirdiler. Grafik, SpamHaus ve diğer kaynaklardan gelen yeni verilerle neredeyse gerçek zamanlı olarak güncellenebilir ve zaman içinde daha faydalı ve eksiksiz hale gelir.

Araştırmacılar şöyle diyor:

‘Bu yapıların incelenmesi, potansiyel spam alan adlarını vurgulayabilir. Veri setimizde, [SPF] kuralını kullanan ve çoğunluğunun spam kara listelerine çıkan dozens alan adları bulunan yapılar bulduk. Dolayısıyla, kalan alan adlarının henüz tespit edilmemiş veya aktif spam alan adları olmadıkları varsayılabilir.’

Sonuçlar

Araştırmacılar, kendi yaklaşımının spam alan adı tespit gecikmesini, 50 saatlik bir süre boyunca SpamHaus ve SURBL ile karşılaştırdılar. Kendi sistemlerinin %70’lik bir oranda spam alan adlarını daha hızlı tespit ettiğini, ancak %26’lık bir oranda spam alan adlarının takip eden saat içinde ticari kara listelerine eklendiğini belirtiyorlar. Alan adlarının %30’u, pasif DNS beslemesinde göründüğünde zaten bir kara listedeydi.

Yazarlar, tek bir DNS sorgusuna dayalı olarak %79’luk bir F1 puanı iddia ediyorlar, जबकi Exposure gibi rakip yöntemler bir hafta ön analiz gerektirebilir.

Şunları gözlemliyorlar:

‘Şemamız, bir alan adı yaşam döngüsünün erken aşamalarında uygulanabilir: pasif (veya aktif) DNS kullanarak, yeni kayıtlı alan adları için SPF kurallarını alabilir ve onları hemen sınıflandırabiliriz, veya bu alan adlarına yapılan TXT sorgularını tespit edene kadar bekleyip, sınıflandırma işlemini zorlu olmayan temporal özellikler kullanarak rafine edebiliriz.’

Ve devam ediyorlar:

‘[Bizim] en iyi sınıflandırıcı, %85’lik bir oranda spam alan adlarını tespit ederken, yanlış pozitif oranını %1’in altında tutuyor. Tespit sonuçları, sınıflandırmanın yalnızca alan adı SPF kurallarının içeriği ve ilişkileri ile DNS trafiğine dayalı zorlu özelliklerini kullandığı dikkate alındığında dikkat çekicidir.

‘Sınıflandırıcıların performansı, yalnızca bir TXT sorgusundan toplanan statik özellikler verildiğinde bile yüksek kalır (pasif olarak观察 edilen veya aktif olarak sorgulanan).’

Yeni yöntemin sunumunu görmek için aşağıdaki gömülü videoyu izleyin:

İlk olarak 5 Mayıs 2022’de yayınlandı.