Определение эффективности обнаружения DNS-туннелей при помощи нейронной сети в системе обнаружения вторжений

Труды Института системного программирования РАН. 2026. Т. 38. № 4. С. 123–142.

Маринин Н. Д., Гетьман А. И.

В работе рассматривается метод обнаружения туннелей, реализованных с помощью протокола DNS в сетевом трафике при помощи нейронной сети. Для этого был произведен анализ актуальных методов. Подготовлен набор данных для обучения нейронной сети. Предложенная модель использует на входе последовательность символов, извлеченная из DNS ответа. Обученная модель показала F1 меру близкую к единице. Для проверки работоспособности доработаны модули системы  обнаружения вторжений с открытым исходным кодом Snort3. Обученная модель исполнялась при помощи совместимого модуля LibML. Результаты эксперимента показывают точность близкой к единице и практически полное отсутствие ложных срабатываний. Время обработки DNS пакета с активированным модулем обнаружения при помощи нейронной сети в среднем увеличилось на 13%, а для смешанного трафика, состоящего из различных протоколов время увеличилось на 2%. Анализ экспериментальных данных подтверждает, что использование нейронной сети эффективно дополняет классические средства безопасности, позволяя эффективно обнаруживать скрытые каналы, инкапсулированные в DNS, не оказывая существенного влияния на производительность сигнатурной подсистемы.

Ключевые слова: нейронная сеть, intrusion detection system, система обнаружения вторжений, covert channels, Convolutional neural network (CNN), DNS, DNS, DNS tunneling, DNS-туннелирование, скрытые каналы