Leçons du module (1/3)
Tunneling DNS et DGA
Tunneling DNS et DGA
Le tunneling DNS encode des données dans les noms ou réponses pour utiliser DNS comme canal de transport. Un algorithme de génération de domaines (DGA) crée de nombreux noms variables afin de trouver une infrastructure de commande. Signaux possibles : sous-domaines très longs, forte entropie, nombreux NXDOMAIN, fréquence inhabituelle ou trafic concentré sur un hôte.
Aucun signal ne prouve seul une infection. CDN, télémétrie, courrier et applications légitimes peuvent aussi produire des motifs inhabituels. Comparez à une référence et corrélez identité du client, destination, processus, télémétrie du terminal et horaires. Conservez les journaux avec un accès et une durée adaptés à la vie privée.
Un client de laboratoire qui envoie des centaines de requêtes à des noms aléatoires mérite un triage, pas un verdict automatique de malware. Combinez résolveur géré, télémétrie, limites de débit et enquête sur l’hôte. Les blocages doivent être motivés et expirer.
Vérifiez votre compréhension
Choisissez la meilleure réponse. Les exemples utilisent des noms pédagogiques et n’envoient aucune requête réelle.
Quelle réaction convient à un motif DNS inhabituel ?