Ders 4.4: DNS ve işaretleşme
Neredeyse her bağlantı bir DNS sorgusuyla başlar; bu yüzden DNS günlüğü, trafik şifreli olsa bile zararlı yazılımı görmek için en iyi yerlerden biridir. Üç örüntü öne çıkar: işaretleşme (bir makinenin aynı adı düzenli aralıklarla sorması), tünelleme (dışarı veri taşıyan uzun, rastgele görünen adlar) ve genç alan adları (günler önce kaydedilmiş). Laboratuvarda Northwind'in DNS günlüğünün yarım saatini inceliyorsun: bir işaretin aralığını ölçüyor, DNS sorgularıyla dışarı kaçırılan veriyi çözüyor ve sorguları yeni kaydedilmiş alan adları akışıyla eşleştiriyorsun.
17 dk
Bu derste öğreneceklerin
- DNS günlüklerinin tespit için neden önemli olduğunu açıklamak
- İşaret aralıklarını ölçmek
- DNS tünellemesini tanımak
- Sorgulardaki onaltılık kodlu veriyi çözmek
- Yeni kaydedilmiş alan adı istihbaratını kullanmak
Temel terimler
- İşaretleşme
- Zararlı yazılımın talimat istemek için C2'sine düzenli aralıklarla bağlanması.
- DNS tünelleme
- Veriyi, genellikle uzun alt alan adlarına kodlanmış olarak, DNS sorguları ve yanıtları içinde taşımak.
- Yeni kaydedilmiş alan adı (NRD)
- Yakın zamanda, çoğu zaman son 30 gün içinde kaydedilmiş bir alan adı.
- TXT kaydı
- Serbest metin tutan bir DNS kaydı; meşru olarak SPF, DKIM ve doğrulama için kullanılır, tünelleme için kötüye kullanılır.
← SQL enjeksiyonu · Tüm dersler · Kipler, IV'ler ve doğrulanmış şifreleme →