Güvenlik Tehditleri İçin DNS Trafiğini İzleme

Siber suçlular sürekli olarak giderek daha karmaşık ve tehlikeli kötü amaçlı yazılım programları geliştiriyor. 2016'nın ilk çeyreğine ilişkin istatistikler, 2015'e kıyasla kötü amaçlı yazılım saldırılarının dört kat arttığını gösteriyor.

DNS trafiği neden önemlidir?

DNS, kuruluşunuzdaki son kullanıcıların internete nasıl bağlanacağı konusunda önemli bir role sahiptir. İstemci cihazlar tarafından bir alana yapılan her bağlantı, DNS günlüklerine kaydedilir. İstemci cihazları ile yerel özyinelemeli çözümleyiciniz arasındaki DNS trafiğini incelemek, adli analiz için zengin miktarda bilgi ortaya çıkarabilir.

DNS sorguları şunları ortaya çıkarabilir:

• C&C sunucularına bağlanan Botnet'ler/Kötü amaçlı yazılımlar
• Bir çalışanın hangi web sitelerini ziyaret ettiği
• Hangi kötü amaçlı ve DGA alanlarına erişildi?
• Hangi dinamik alanlara (DynDNS) erişildi?
• NXDomain, hayalet etki alanı gibi DDOS saldırı tespiti. rastgele alt alan adı

EventTracker'ı kullanarak tehditleri belirleme

Her DNS günlüğünü ayrıştırırken, erişilen her etki alanını aşağıdakilere göre doğrularız:

• Kötü amaçlı etki alanı veritabanı (düzenli olarak güncellenir)
• Etki Alanı Oluşturma Algoritması (DGA)

Yukarıda belirtilen kriterlerden herhangi biriyle eşleşen herhangi bir alan adı dikkat gerektirir ve ona erişen müşteri ve alanın jeolojik bilgileri (IP, Ülke) ile birlikte bir uyarı oluşturulur.

EventTracker, davranış analizini kullanarak kuruluşta erişilen her bir etki alanına yönelik bağlantıların hacmini izler. Belirli bir alana gelen trafik hacmi ortalamanın üzerindeyse uyarı koşulları tetiklenir. Bir alan adına ilk kez erişildiğinde aşağıdakileri kontrol ederiz:

• Bu dinamik bir alan adı mı?
• Alan adı yakın zamanda mı kaydedildi veya süresi yakında mı dolacak?
• Alanın bilinen kötü amaçlı bir TLD'si var mı?

Son trendler, siber suçluların komuta ve kontrol merkezleri olarak dinamik alanlar yaratabileceğini gösteriyor. Bu alan adları çok kısa bir süre için etkinleştirilir ve daha sonra atılır; bu da yukarıdaki kontrolleri daha da önemli hale getirir.

EventTracker sorgu, istemci, kayıt türü ve hatanın istatistiksel/eşik izlemesini yapar. Bu, NXDOMAIN saldırısı, Hayalet etki alanı saldırısı, rastgele alt etki alanı saldırısı vb. gibi birçok DDOS saldırısının tespit edilmesine yardımcı olur. EventTracker'ın istemci DNS ayarlarını izlemesi, DNS ele geçirilmesinin tespit edilmesine ve istemci hakkındaki bilgiler de dahil olmak üzere şüpheli herhangi bir şey için bir uyarı oluşturulmasına yardımcı olur. DNS ayarı olarak. EventTracker esnek kontrol paneli, saldırı algılama verilerini ve istemci ayrıntılarını ilişkilendirmeye yardımcı olarak saldırı algılamayı kolaylaştırır.

DNS günlüklerinin izlenmesi, kuruluşta meydana gelen güvenlik saldırılarını tanımlamanın güçlü bir yoludur; saldırıların başarılı bir şekilde engellenmesine ve güvenlik açıklarının giderilmesine olanak tanır.