Модульні уроки (1/3)
DNS tunneling and DGAs
Тунелювання DNS і DGA
Тунелювання DNS кодує дані в DNS-іменах або відповідях, щоб використовувати DNS як транспортний канал. Алгоритм генерації домену (DGA) створює багато змінних імен для пошуку інфраструктури команд. Можливі сигнали включають дуже довгі субдомени, високу випадковість, багато відповідей NXDOMAIN, незвичну частоту або трафік, зосереджений на одному хості.
Жоден сигнал не доводить зараження. CDN, телеметрія, поштові системи та законні програми також можуть створювати незвичайні моделі. Порівняйте з базовою лінією та співвіднесіть ідентифікатор клієнта, пункт призначення, процес, телеметрію кінцевої точки та час. Зберігайте журнали з доступом і збереженням відповідно до вимог конфіденційності.
Наприклад, навчальний клієнт, який за кілька хвилин надсилає сотні запитів до випадкових імен, заслуговує на сортування, а не на автоматичний вердикт щодо зловмисного програмного забезпечення. Захисна відповідь може поєднувати керований розпізнавач, телеметрію, обмеження швидкості, класифікацію та дослідження на рівні хоста. Під час блокування використовуйте обґрунтовані винятки та терміни дії.
Перевірте своє розуміння
Виберіть найкращу відповідь. У прикладах використовуються навчальні імена та не надсилаються справжні DNS-запити.
Що таке звукова відповідь на незвичайний шаблон DNS?