Detecting IPv6 network scan with DNS backscatter

2020 Fiscal Year Final Research Report

• Project/Area Number: 18H03237
• Research Category: Grant-in-Aid for Scientific Research (B)
• Allocation Type: Single-year Grants
• Section: 一般
• Review Section: Basic Section 60060:Information network-related
• Research Institution: National Institute of Informatics
• Principal Investigator: Fukuda Kensuke 国立情報学研究所, アーキテクチャ科学研究系, 准教授 (90435503)
• Project Period (FY): 2018-04-01 – 2021-03-31
• Keywords: インターネット / DNS / スキャン / セキュリティ

Outline of Final Research Achievements

Full network scans to the IPv4 whole address space are handy and easy due to its address size. However, random scans to IPv6 address space are not feasible and also hard to detect in current passive network sensors. In this work, we design, implement, and evaluate a new framework to detect IPv6 scans, called DNS backscatter. DNS backscatter relies on DNS queries triggered by targets when scanners send scan packets to them. Our results demonstrate that the DNS backscatter can detect network-wide IPv6 scans more effectively than existing techniques (e.g., darknet, backbone traffic analysis).

Free Research Field

インターネット工学

Academic Significance and Societal Importance of the Research Achievements

本課題では，ネットワーク上で起こるIPv6ネットワークスキャンを中央集権的なDNSへのクエリをルールベースの識別器を用いることで検出する技術を確立した．この技術により，局所的なネットワーク監視をネットワーク中で大規模に行う必要なく，root DNSへのクエリの観測のみから検出できることから，全インターネットで起こりうる大規模ネットワークスキャンを検出することが原理的に可能となった．ネットワーク管理者・運用者は提案手法を用いることで自ネットワークでの異常検出が容易となると期待できる．