Modulelessen (1/3)
DNS tunneling and DGAs
DNS-tunneling en DGA's
DNS-tunneling codeert gegevens in DNS-namen of antwoorden om DNS als transportkanaal te gebruiken. Een domeingeneratie-algoritme (DGA) creëert veel veranderende namen om de commando-infrastructuur te vinden. Mogelijke signalen zijn onder meer zeer lange subdomeinen, hoge willekeur, veel NXDOMAIN-reacties, ongebruikelijke frequentie of verkeer dat zich op één host concentreert.
Geen enkel signaal bewijst een infectie. CDN's, telemetrie, mailsystemen en legitieme applicaties kunnen ook ongebruikelijke patronen creëren. Vergelijk met een basislijn en correleer de clientidentiteit, bestemming, proces, eindpunttelemetrie en timing. Houd logboeken bij met toegang en bewaring die passen bij de privacyvereisten.
Een trainingsclient die in een paar minuten honderden verzoeken naar willekeurig uitziende namen doet, verdient bijvoorbeeld triage, en niet een automatisch oordeel over malware. Een defensieve reactie kan een beheerde oplosser, telemetrie, snelheidslimieten, classificatie en onderzoek op hostniveau combineren. Gebruik bij het blokkeren gemotiveerde uitzonderingen en vervaldata.
Controleer uw begrip
Kies het beste antwoord. In de voorbeelden worden trainingsnamen gebruikt en worden geen echte DNS-query's verzonden.
Wat is een goede reactie op een ongebruikelijk DNS-patroon?