Pelajaran modul (1/3)
DNS tunneling and DGAs
Tunneling DNS dan DGA
Tunneling DNS mengkodekan data dalam nama atau jawaban DNS untuk menggunakan DNS sebagai saluran transport. Algoritma pembuatan domain (DGA) menciptakan banyak perubahan nama untuk menemukan infrastruktur perintah. Kemungkinan sinyal mencakup subdomain yang sangat panjang, keacakan tinggi, banyak respons NXDOMAIN, frekuensi tidak biasa, atau lalu lintas terkonsentrasi pada satu host.
Tidak ada satu pun sinyal yang membuktikan adanya infeksi. CDN, telemetri, sistem email, dan aplikasi yang sah juga dapat menciptakan pola yang tidak biasa. Bandingkan dengan garis dasar dan korelasikan identitas klien, tujuan, proses, telemetri titik akhir, dan waktu. Simpan log dengan akses dan penyimpanan yang sesuai dengan persyaratan privasi.
Misalnya, klien pelatihan yang membuat ratusan permintaan atas nama yang tampak acak dalam beberapa menit berhak mendapatkan triase, bukan keputusan malware otomatis. Respons defensif dapat menggabungkan penyelesai terkelola, telemetri, batas kecepatan, klasifikasi, dan investigasi tingkat host. Gunakan pengecualian yang beralasan dan tanggal kedaluwarsa saat memblokir.
Periksa pemahaman Anda
Pilih jawaban terbaik. Contohnya menggunakan nama pelatihan dan tidak mengirimkan kueri DNS sebenarnya.
Apa respons yang baik terhadap pola DNS yang tidak biasa?