模块 15 · 第 1 课（共 3）课程中的49/54~16 min
模块课程（1/3）
DNS tunneling and DGAs
DNS 隧道和 DGA
DNS 隧道对 DNS 名称或答案中的数据进行编码，以使用 DNS 作为传输通道。域生成算法 (DGA) 创建许多变化的名称来查找命令基础设施。可能的信号包括非常长的子域、高随机性、许多 NXDOMAIN 响应、异常频率或集中在一台主机上的流量。
没有任何信号证明感染。 CDN、遥测、邮件系统和合法应用程序也可以创建不寻常的模式。与基线进行比较，并将客户端身份、目的地、流程、端点遥测和计时关联起来。保持日志的访问和保留符合隐私要求。
例如，训练客户端在几分钟内向看似随机的名称发出数百个请求，应该进行分类，而不是自动判定恶意软件。防御响应可以结合托管解析器、遥测、速率限制、分类和主机级调查。阻止时使用合理的例外和到期日期。
检查你的理解情况
选择最佳答案。这些示例使用训练名称，并且不发送真正的 DNS 查询。
对异常 DNS 模式的合理响应是什么？