Bài học theo mô-đun (1/3)
DNS tunneling and DGAs
Đường hầm DNS và DGA
Đường hầm DNS mã hóa dữ liệu trong tên hoặc câu trả lời DNS để sử dụng DNS làm kênh truyền tải. Thuật toán tạo miền (DGA) tạo ra nhiều tên thay đổi để tìm cơ sở hạ tầng lệnh. Các tín hiệu có thể bao gồm tên miền phụ rất dài, tính ngẫu nhiên cao, nhiều phản hồi NXDOMAIN, tần suất bất thường hoặc lưu lượng truy cập tập trung trên một máy chủ.
Không có tín hiệu nào chứng tỏ nhiễm trùng. CDN, đo từ xa, hệ thống thư và các ứng dụng hợp pháp cũng có thể tạo ra các mẫu bất thường. So sánh với đường cơ sở và liên hệ với danh tính khách hàng, đích đến, quy trình, đo từ xa điểm cuối và thời gian. Giữ nhật ký với quyền truy cập và lưu giữ phù hợp với yêu cầu về quyền riêng tư.
Ví dụ: một khách hàng đào tạo thực hiện hàng trăm yêu cầu đối với các tên trông ngẫu nhiên trong vài phút xứng đáng được phân loại chứ không phải là kết quả phần mềm độc hại tự động. Phản hồi phòng thủ có thể kết hợp trình phân giải được quản lý, đo từ xa, giới hạn tốc độ, phân loại và điều tra ở cấp độ máy chủ. Sử dụng các ngoại lệ hợp lý và ngày hết hạn khi chặn.
Kiểm tra sự hiểu biết của bạn
Chọn câu trả lời tốt nhất. Các ví dụ sử dụng tên đào tạo và không gửi truy vấn DNS thực.
Phản hồi âm thanh đối với mẫu DNS bất thường là gì?