有報導稱監(jiān)控域名系統(tǒng)(DNS)數(shù)據(jù)可以肯定收集是不是被報復打擊。這是真的嗎？那么您建議企業(yè)利用哪些東西進行DNS監(jiān)控呢？
Advertisement
Brad Casey：其實，監(jiān)控DNS數(shù)據(jù)就是鑒定你的收集是不是被報復打擊的最好的編制。因為DNS是機械與C2節(jié)點彼此通信的首要編制，所以DNS數(shù)據(jù)變得愈來愈首要。是以，一個可疑的DNS流量就有多是你的收集設備成為僵尸收集方針的警示。當然今朝有良多DNS監(jiān)控編制，但我覺得最好的有三個：域名春秋、可疑域名和DNS故障。下面我們回顧一下這三種編制：
域名春秋。它是編寫Whois查詢和監(jiān)控所有第一次穿過網(wǎng)關的域名，還出格存眷所成立的字段的日期。好比有一個域名是兩天前成立的，那么它會禁止流向該域名的任何流量，直到進一步查抄后再履行。
可疑域名。其實“可疑”的邊界很難界定，可是你能一眼看出來。舉個例子來講，我們上彀經(jīng)常利用谷歌.com這個域名，可是goole.co1.123.abc卻不常見。假定你寄望到流向某域名的流量不正常，那么你就需要謹慎謹嚴。
DNS故障。假定有良多DNS查找故障信息進進你的收集，那么你就有多是或人操縱域名生成算法(DGA)的受害者。因為很少有人會操縱DGA成立數(shù)千個域名來進行通信。與真實域名通信就是機械若何經(jīng)由過程響應的C2節(jié)點來節(jié)制機械的過程。
上面提到的功能對經(jīng)驗豐碩的治理來講很等閑實施。唯一一個相對堅苦一點的就是可疑域名這個功能，因為企業(yè)凡是覺得不合工作的可疑程度取決于他們利用的懷抱編制?？墒牵蛎呵锖虳NS故障很等閑編寫腳本，并且也不需要采辦額外硬件舉措措施。