Lezioni del modulo (1/3)
Tunneling DNS e DGA
Tunneling DNS e DGA
Nel tunneling DNS, un programma codifica dati dentro nomi o risposte DNS per usare il canale come trasporto. Un DGA genera molti nomi variabili per cercare infrastrutture di comando. Segnali possibili sono sottodomini molto lunghi, alta entropia, molti NXDOMAIN, frequenza insolita o volumi concentrati su un host.
Come funziona
Nessun singolo segnale prova un’infezione: CDN, telemetria, sistemi di posta e applicazioni legittime possono generare pattern insoliti. Confronta baseline, identità del client, destinazione, processo e contesto temporale. Mantieni log con accessi e retention proporzionati alla privacy.
Esempio svolto
Esempio didattico: un client genera 800 richieste in pochi minuti verso nomi casuali sotto un dominio sconosciuto. Il dato merita triage; non basta per dichiarare malware. Correlalo con processo, endpoint e reputazione prima di bloccare.
Attenzione
Una difesa utile combina resolver controllato, telemetria, limiti di rate, classificazione e risposta per host. Bloccare un dominio può interrompere anche servizi legittimi: usa eccezioni motivate e scadenze.
Verifica
Scegli la risposta migliore. Gli esempi usano nomi e indirizzi didattici e non inviano query DNS reali.
Qual è un approccio corretto a un pattern DNS anomalo?