モジュール 15 · レッスン 1 / 3コース内の 49/54~16 min
モジュールのレッスン (1/3)
DNS tunneling and DGAs
DNSトンネリングとDGA
DNS トンネリングは、DNS 名または応答のデータをエンコードして、DNS をトランスポート チャネルとして使用します。ドメイン生成アルゴリズム (DGA) は、コマンド インフラストラクチャを見つけるために多くの変更名を作成します。考えられるシグナルには、非常に長いサブドメイン、高いランダム性、多数の NXDOMAIN 応答、異常な頻度、または 1 つのホストに集中したトラフィックが含まれます。
感染を証明する信号はありません。 CDN、テレメトリ、メール システム、正規のアプリケーションによっても、異常なパターンが発生する可能性があります。ベースラインと比較し、クライアント ID、宛先、プロセス、エンドポイント テレメトリ、タイミングを関連付けます。プライバシー要件に適したアクセスと保持を備えたログを保管します。
たとえば、ランダムに見える名前に対して数分間に数百回のリクエストを行うトレーニング クライアントは、マルウェアの自動判定ではなく、トリアージの対象となります。防御的対応では、マネージド リゾルバー、テレメトリ、レート制限、分類、ホスト レベルの調査を組み合わせることができます。ブロックする場合は、理由のある例外と有効期限を使用してください。
理解度を確認してください
最良の答えを選択してください。この例ではトレーニング名を使用しており、実際の DNS クエリは送信しません。
異常な DNS パターンに対する健全な応答とは何ですか?