Lecții din modul (1/3)
DNS tunneling and DGAs
Tunnel DNS și DGA
Tunnelul DNS codifică datele în nume sau răspunsuri DNS pentru a utiliza DNS ca canal de transport. Un algoritm de generare de domenii (DGA) creează multe nume în schimbare pentru a găsi infrastructura de comandă. Semnalele posibile includ subdomenii foarte lungi, aleatorie mare, multe răspunsuri NXDOMAIN, frecvență neobișnuită sau trafic concentrat pe o singură gazdă.
Niciun semnal nu dovedește infecția. CDN-urile, telemetria, sistemele de poștă și aplicațiile legitime pot crea, de asemenea, modele neobișnuite. Comparați cu o linie de bază și corelați identitatea clientului, destinația, procesul, telemetria punctului final și sincronizarea. Păstrați jurnalele cu acces și păstrare adecvate cerințelor de confidențialitate.
De exemplu, un client de instruire care face sute de solicitări către nume cu aspect aleatoriu în câteva minute merită triajul, nu un verdict automat de malware. Un răspuns defensiv poate combina un rezolutor gestionat, telemetrie, limite de viteză, clasificare și investigație la nivel de gazdă. Folosiți excepții motivate și date de expirare atunci când blocați.
Verificați-vă înțelegerea
Alegeți cel mai bun răspuns. Exemplele folosesc nume de antrenament și nu trimit interogări DNS reale.
Ce este un răspuns sonor la un model DNS neobișnuit?