Lektionen des Moduls (1/3)
DNS-Tunneling und DGA
DNS-Tunneling und DGA
DNS-Tunneling kodiert Daten in Namen oder Antworten, um DNS als Transportkanal zu nutzen. Ein Domain-Generation-Algorithmus (DGA) erzeugt viele wechselnde Namen, um Command-Infrastruktur zu finden. Mögliche Signale sind sehr lange Subdomains, hohe Zufälligkeit, viele NXDOMAIN-Antworten, ungewöhnliche Häufigkeit oder auf einen Host konzentrierter Verkehr.
Kein einzelnes Signal beweist eine Infektion. CDNs, Telemetrie, Mail und legitime Anwendungen erzeugen ebenfalls auffällige Muster. Vergleiche mit einer Basislinie und korreliere Client, Ziel, Prozess, Endpoint-Telemetrie und Zeit. Protokolle brauchen angemessene Zugriffsrechte und Aufbewahrungszeiten.
Ein Laborclient mit Hunderten Anfragen an zufällig wirkende Namen verdient eine Untersuchung, kein automatisches Malware-Urteil. Kombiniere verwalteten Resolver, Telemetrie, Ratenlimits und Hostanalyse. Sperren brauchen begründete Ausnahmen und Ablaufzeiten.
Verständnis prüfen
Wähle die beste Antwort. Die Beispiele verwenden Trainingsnamen und senden keine echten DNS-Anfragen.
Was ist eine sinnvolle Reaktion auf ein auffälliges DNS-Muster?