Уроки модуля (1/3)
DNS tunneling and DGAs
DNS-туннелирование и DGA
Туннелирование DNS кодирует данные в именах или ответах DNS для использования DNS в качестве транспортного канала. Алгоритм генерации домена (DGA) создает множество меняющихся имен для поиска командной инфраструктуры. Возможные сигналы включают очень длинные поддомены, высокую степень случайности, множество ответов NXDOMAIN, необычную частоту или концентрацию трафика на одном хосте.
Ни один сигнал не доказывает инфекцию. CDN, телеметрия, почтовые системы и законные приложения также могут создавать необычные шаблоны. Сравните с базовым уровнем и сопоставьте идентификатор клиента, место назначения, процесс, телеметрию конечной точки и время. Храните журналы с доступом и хранением, соответствующими требованиям конфиденциальности.
Например, обучающий клиент, делающий сотни запросов к случайным именам за несколько минут, заслуживает сортировки, а не автоматического вердикта о вредоносном ПО. Защитный ответ может сочетать в себе управляемый преобразователь, телеметрию, ограничения скорости, классификацию и исследование на уровне хоста. При блокировке используйте обоснованные исключения и даты истечения срока действия.
Проверьте свое понимание
Выберите лучший ответ. В примерах используются обучающие имена и не отправляются настоящие DNS-запросы.
Какова правильная реакция на необычный шаблон DNS?