DNS-GT: A Graph-based Transformer Approach to Learn Embeddings of Domain Names from DNS Queries

O artigo apresenta o DNS-GT, uma abordagem inovadora baseada em Transformers que aprende representações de nomes de domínio a partir de sequências de consultas DNS, superando métodos existentes ao capturar informações contextuais e demonstrar superioridade em tarefas como classificação de domínios e detecção de botnets.

O essencial

Imagine que a internet é uma cidade gigante e cheia de gente. Para se comunicar, cada pessoa (seu computador, seu celular) precisa pedir ajuda a um carteiro especial chamado DNS (Sistema de Nomes de Domínio).

Sempre que você digita "google.com" no navegador, seu computador pergunta ao carteiro: "Onde fica a casa do Google?". O carteiro olha no livro de endereços e diz: "É na rua X, número Y".

O problema é que os hackers também usam esse carteiro. Eles criam endereços falsos ou pedem para computadores infectados (zumbis) visitarem sites maliciosos para roubar dados ou espalhar vírus.

O Problema: O Detetive Cansado

As empresas de segurança usam "detetives" (sistemas de segurança) para vigiar o carteiro.

• O jeito antigo: O detetive tinha uma lista de "nomes de bandidos" conhecidos. Se alguém pedisse um desses nomes, o detetive gritava "Pare!". Mas os bandidos mudam de nome o tempo todo, então essa lista nunca estava completa.
• O jeito de Inteligência Artificial (IA): Criaram-se robôs que aprendem com o comportamento. Mas, até agora, esses robôs olhavam para cada pedido de endereço isoladamente, como se olhassem para uma única palavra fora de contexto. Eles não entendiam a "história" completa.

A Solução: O DNS-GT (O Detetive com Memória de Elefante)

Os autores deste artigo criaram um novo robô chamado DNS-GT. Pense nele como um detetive superinteligente que usa duas ferramentas mágicas:

1. O Transformer (O Mestre do Contexto):
   Imagine que você está lendo um livro. Se eu disser apenas a palavra "Banco", você não sabe se estou falando de sentar em um banco de praça ou de um banco financeiro. Mas se eu disser "O ladrão entrou no banco e roubou o cofre", você entende imediatamente!
   O DNS-GT funciona assim. Ele não olha apenas para o nome do site que você visitou. Ele olha para a sequência de sites que você visitou antes e depois.

   • Exemplo: Se você visita "banco.com", depois "login.com" e depois "transferir-dinheiro.com", o robô entende que é uma sessão normal de banco. Mas se você visita "banco.com" e logo depois "site-de-virus.com", o robô percebe que algo estranho está acontecendo, mesmo que "banco.com" seja um site legítimo.

2. O Gráfico (O Mapa de Relacionamentos):
   Imagine que os sites são pessoas em uma festa. O DNS-GT desenha um mapa (um gráfico) conectando as pessoas que conversam entre si. Ele sabe que certas pessoas (sites) costumam andar juntas. Se uma pessoa que nunca anda com o grupo de "bandidos" começa a conversar com eles, o robô levanta uma bandeira vermelha.

Como ele aprende? (O Treinamento)

O robô foi treinado de uma forma muito inteligente, sem precisar de uma lista de "bandidos" pronta:

• O Jogo do "O que falta?": O robô recebeu milhões de registros de quem pediu o quê. Ele teve um jogo onde alguns nomes eram apagados (como um "preencha as lacunas"). Ele tinha que adivinhar qual era o nome que faltava, olhando apenas para os vizinhos.
• Ao fazer isso milhões de vezes, ele aprendeu a "gramática" da internet. Ele aprendeu o que é um comportamento normal e o que é estranho, apenas observando os padrões.

O Resultado: Detectando o Invisível

Quando colocaram esse novo robô para trabalhar em dados reais de uma rede de computadores, ele foi muito melhor que os antigos:

• Detectou Botnets: Conseguir identificar quando um computador estava sendo controlado à distância por um hacker, mesmo que o hacker estivesse se escondendo bem.
• Entendeu o Contexto: Se um site é "inocente" na maioria das vezes, mas aparece em um contexto suspeito (junto com sites de vírus), o robô sabe alertar. É como se ele dissesse: "Este homem é um médico, mas por que ele está correndo para dentro de um banco às 3 da manhã?".

Resumo em uma frase

O DNS-GT é um novo sistema de segurança que, em vez de apenas decorar nomes de bandidos, aprendeu a ler a história completa das conversas na internet, entendendo o contexto para pegar os criminosos que tentam se esconder mudando de nome.

É como trocar um guarda que só olha para a foto do rosto de um suspeito por um detetive que entende o comportamento, a rotina e as amizades de todos na cidade.

Resumo técnico

1. Problema e Motivação

Os Sistemas de Detecção de Intrusão em Redes (NIDS) são fundamentais para a segurança cibernética, mas enfrentam desafios significativos:

• Dependência de Dados Rotulados: Os métodos tradicionais de aprendizado de máquina (ML) dependem fortemente de grandes volumes de dados rotulados, que são caros e difíceis de obter devido a preocupações com privacidade.
• Limitações de Generalização: Modelos baseados em assinaturas ou características manuais (handcrafted features) não conseguem detectar ameaças novas ou sofisticadas (como botnets dinâmicas) e têm capacidade limitada de generalização.
• Falta de Contexto em Métodos Atuais: Abordagens recentes que utilizam embeddings de nomes de domínio (inspiradas em NLP, como Word2Vec) capturam padrões de co-ocorrência local, mas falham em compreender dependências contextuais complexas e semânticas profundas entre consultas DNS sequenciais.

O objetivo é desenvolver um modelo capaz de aprender representações robustas de nomes de domínio a partir de dados DNS brutos e não rotulados, capturando o comportamento contextual das consultas para tarefas de segurança downstream.

2. Metodologia: DNS-GT

O DNS-GT é uma arquitetura inovadora que combina Transformers com Redes Neurais de Grafos (GNNs) para modelar o tráfego DNS.

2.1. Pré-processamento e Sequenciamento

• Dados: O tráfego DNS bruto (arquivos PCAP) é limpo e filtrado para manter apenas registros 'A' de hosts finais (excluindo resolvers DNS).
• Agrupamento por Host: As consultas são agrupadas por endereço IP de origem para garantir coerência semântica (uma única "conversa" de um host).
• Estratégias de Sequenciamento: O artigo propõe e avalia três formas de criar sequências temporais:
  1. Comprimento Fixo: Janela deslizante de tamanho fixo.
  2. Baseada em Tempo (Greedily): Agrupa consultas com base em intervalos de tempo curtos (burst).
  3. Baseada em Clustering (DBScan): Agrupa consultas temporalmente próximas usando um algoritmo de densidade, sendo robusto a outliers.

2.2. Arquitetura do Modelo

O modelo é baseado no Transformer, mas com adaptações críticas para o domínio de segurança:

• Entrada: Sequências de consultas, onde cada consulta é um par $(h_i, d_i)$ representando o Host e o Domínio.
• Mecanismo de Atenção Gráfica (GAT): Em vez de atenção padrão baseada em posição, o DNS-GT utiliza Multi-Head Graph Attention Networks (GAT).
  • Isso permite que o modelo ignore a ordem estrita das consultas (já que a ordem exata pode ser ruidosa devido a atrasos de rede) e foque nas relações contextuais entre os nós (consultas).
  • O modelo é equivariante a permutações, tornando-o robusto a pequenas perturbações de tempo na rede.
• Topologias de Grafos Conhecidas: O modelo suporta matrizes de adjacência personalizadas para conectar tokens relacionados, permitindo que o mecanismo de atenção foque apenas em nós relevantes (ignorando, por exemplo, tokens de preenchimento <PAD>).
• Objetivo de Treinamento (Pré-treinamento): Utiliza Masked Language Modeling (MLM). O modelo é treinado para reconstruir nomes de domínio mascarados em uma sequência, aprendendo a "gramática" e o comportamento geral do tráfego DNS sem necessidade de rótulos.
• Fine-tuning: Após o pré-treinamento, o modelo é ajustado para tarefas específicas (como classificação de domínios ou detecção de botnets) usando uma pequena quantidade de dados rotulados.

3. Principais Contribuições

1. Arquitetura Híbrida (DNS-GT): Introdução de um modelo Transformer integrado com GNNs, projetado especificamente para capturar dependências contextuais em sequências de consultas DNS.
2. Aprendizado Não Supervisionado: Capacidade de aprender representações ricas a partir de dados brutos e não rotulados, superando a barreira da escassez de dados rotulados.
3. Generalização para Tarefas Diversas: Demonstração de que o mesmo modelo pré-treinado pode ser adaptado para múltiplas tarefas downstream, incluindo classificação de domínios e detecção de botnets.
4. Avaliação Abrangente: Experimentos extensivos em um conjunto de dados real com mais de 4.000 hosts e 296 milhões de pacotes DNS, comparando o desempenho contra baselines como Word2Vec (CBOW e Skip-Gram).

4. Resultados Experimentais

Os experimentos foram realizados em duas tarefas principais: Classificação de Nomes de Domínio (identificar domínios maliciosos) e Detecção de Botnets.

• Desempenho na Classificação de Domínios:

  • O DNS-GT superou consistentemente as baselines (Word2Vec) em todas as estratégias de sequenciamento (Fixo, Tempo e Densidade).
  • Na estratégia de Densidade com classificação end-to-end, o DNS-GT alcançou um AUC de 0.848 e um F1-score de 0.654, superando significativamente o Word2Vec-SkipGram (AUC 0.656) e o Word2Vec-CBOW (AUC 0.779).
  • O uso de classificadores externos com embeddings do DNS-GT foi menos eficaz, indicando que o poder do modelo reside na sua capacidade de usar o contexto sequencial durante a inferência (fine-tuning end-to-end), e não apenas como vetores estáticos.

• Detecção de Botnets:

  • O DNS-GT alcançou resultados comparáveis ao Word2Vec-SkipGram (AUC 0.970), demonstrando robustez, embora o ganho de performance contextual tenha sido mais evidente na classificação de domínios.

• Estudo de Ablação:

  • A remoção do mecanismo de atenção degradou o AUC em 0.438, provando que o contexto é crucial.
  • A remoção das informações de host causou uma degradação menor (0.086), mas ainda significativa, mostrando que ambos os componentes (host e domínio) são importantes.

• Complexidade Computacional:

  • O DNS-GT exige mais tempo de treinamento devido à sua arquitetura complexa (24M parâmetros vs. 15M do Word2Vec), mas os resultados indicam que o custo é justificado pela melhoria na precisão.

5. Significado e Conclusão

O trabalho DNS-GT representa um avanço significativo na aplicação de Modelos de Linguagem de Grande Escala (LLMs) e GNNs para segurança cibernética.

• Mudança de Paradigma: Demonstra que é possível tratar o tráfego DNS como linguagem natural, onde a "semântica" de um domínio é definida pelo contexto das consultas ao seu redor, e não apenas pela sua estrutura lexicográfica.
• Detecção Contextual: O modelo consegue identificar comportamentos suspeitos que seriam invisíveis em análises isoladas. Por exemplo, um domínio benigno pode ser classificado como malicioso se aparecer em uma sequência com domínios conhecidos de rastreamento ou anúncios, demonstrando uma capacidade de inferência dinâmica.
• Escalabilidade: A abordagem sugere que modelos fundacionais treinados em grandes volumes de dados DNS podem se tornar a base para sistemas de detecção de intrusão mais robustos, escaláveis e adaptáveis a novas ameaças, reduzindo a dependência de rótulos manuais.

Em suma, o DNS-GT valida a hipótese de que a modelagem contextual profunda via Transformers e Grafos é superior aos métodos tradicionais de embedding para a análise de segurança em redes.