Evaluación de un mecanismo basado en umbral temporal para la detección y redirección automática de tráfico DNS repetitivo hacia un honeypot en un entorno virtual controlado
Palabras clave:
Sistema de Nombres de Dominio, tráfico DNS repetitivo, umbral temporal, detección de anomalías, honeypot, redirección automática, nftablesResumen
La presente investigación tuvo como objetivo evaluar un mecanismo basado en un umbral temporal para detectar y redirigir automáticamente tráfico DNS repetitivo hacia un honeypot en un entorno virtual controlado. Se empleó la Metodología de Investigación en Ciencia del Diseño, complementada con un enfoque cuantitativo y un diseño experimental comparativo. El entorno virtual estuvo integrado por una máquina Kali Linux encargada de generar las consultas, un servidor DNS legítimo implementado con BIND9 y un servidor DNS utilizado como honeypot. El mecanismo desarrollado monitoreó y contabilizó las consultas por dirección IP dentro de una ventana temporal. Al registrarse diez solicitudes en un periodo de 60 segundos, el sistema generó una alerta y activó una redirección temporal de 120 segundos mediante reglas de nftables. En la evaluación experimental se enviaron veinte consultas consecutivas: las primeras diez fueron procesadas por el servidor DNS legítimo y las diez posteriores fueron redirigidas hacia el honeypot. Esto representó una redirección equivalente al 50 % del total de consultas y al 100 % de las solicitudes realizadas después de activarse la alerta. Los escenarios de tráfico normal y cercano al umbral no generaron alertas ni redirecciones. Los resultados preliminares indican que el mecanismo permitió identificar y separar tráfico DNS repetitivo bajo las condiciones experimentales establecidas, sin observar falsos positivos en los patrones normales evaluados.
Referencias
Anagnostopoulos, M., Kambourakis, G., Kopanos, P., Louloudakis, G., & Gritzalis, S. (2013). DNS amplification attack revisited. Computers & Security, 39(B), 475-485. https://doi.org/10.1016/j.cose.2013.10.001
Boukela, L., Zhang, G., Bouzefrane, S., & Zhou, J. (2020). An outlier ensemble for unsupervised anomaly detection in honeypots data. Intelligent Data Analysis, 24(4), 743-758. https://doi.org/10.3233/IDA-194656
Dai, Y., Huang, T., & Wang, S. (2024). DAmpADF: A framework for DNS amplification attack defense based on Bloom filters and NAmpKeeper. Computers & Security, 139, 103718. https://doi.org/10.1016/j.cose.2024.103718
Eliot, N., Kendall, D., & Brockway, M. (2018). A flexible laboratory environment supporting honeypot deployment for teaching real-world cybersecurity skills. IEEE Access, 6, 34884-34895. https://doi.org/10.1109/ACCESS.2018.2850839
Ginesin, J. et al. (2023). Understanding DNS Query Composition at B-Root. arXiv, 20. https://doi.org/10.1109/BDCAT56447.2022.00044
Hevner, A. R., March, S. T., Park, J., & Ram, S. (2004). Design Science in Information Systems Research. MIS Quarterly, 28(1), 75-105.
Kambourakis, G., Moschos, T., Geneiatakis, D., & Gritzalis, S. (2008). Detecting DNS amplification attacks. In Critical Information Infrastructures Security (CRITIS 2007), Lecture Notes in Computer Science (Vol. 5141, pp. 185-196). Springer. https://doi.org/10.1007/978-3-540-89173-4_16
Komadina, A. et al. (2024). Comparing Threshold Selection Methods. IEEE Access, 31. https://doi.org/10.1109/ACCESS.2024.3452168
Liu, H. et al. (2023). Real-Time Anomaly Detection of Network Traffic Based. Symmetry, 15(6), 1205. https://doi.org/10.3390/sym15061205
Mockapetris, P. (November 1987). RFC 1034: STD 13: Domain names - concepts and facilities. RFC Editor.
Nawrocki, M. et al. (2023). SoK: A Data-driven View on Methods to Detect Reflective Amplification DDoS Attacks Using Honeypots. Proceedings of the IEEE 8th European Symposium on Security and Privacy, 16. https://doi.org/10.1109/EuroSP57164.2023.00041
Peffers, K., Tuunanen, T., Rothenberger, M. A., & Chatterjee, S. (2007-8). A Design Science Research Methodology for Information Systems Research. Journal of Management Information Systems, 24(3), 45-77. https://doi.org/10.2753/MIS0742-1222240302
Provos, N. (2004). A virtual honeypot framework. Proceedings of the 13th USENIX Security Symposium, 1-14.
Vixie, P., & Schryver, V. (2012). DNS response rate limiting (DNS RRL) (ISC-TN-2012-1-Draft1). Internet Systems Consortium.
Wang, J., Liu, Z., Qin, F., Yang, T., Liu, J., & Zhang, C. (2023). Unsupervised anomaly detection method based on DNS log data. In Artificial Intelligence in China, Lecture Notes in Electrical Engineering (Vol. 871, pp. 40-48). Springer. https://doi.org/10.1007/978-981-99-1256-8_5
