corelight/dashboards-splunk-dns-hunting-beaconingDNS Dashboard zum Aufspüren und Identifizieren von Beaconing
DNS-Dashboard zum Jagen und Identifizieren von Beaconing
Dieses Dashboard verwendet keine Drittanbieter-Module mehr und auch keine Splunk-Lookup-Tabelle, um „Trusted Domains" zu identifizieren. Diese gesamte Arbeit wurde auf den Corelight/Zeek-Sensor verlagert.
Das Dashboard verwendet jedoch zwei Splunk-Lookup-Tabellen, um interne und autorisierte DNS-Server zu identifizieren.
Die Datei 'internal_dns_servers.csv' ist eine Liste aller internen DNS-Server, die berechtigt sind, mit externen DNS-Servern zu kommunizieren. Die Datei 'authorized_dns_servers.csv' ist eine Liste aller DNS-Server, mit denen andere Geräte direkt kommunizieren dürfen.
HINWEIS: Nachdem Sie die Lookup-Tabellendatei zu Splunk hinzugefügt haben, stellen Sie sicher, dass Sie die entsprechenden Berechtigungen für die Tabellendatei festlegen.
Der Kern dieses Dashboards wird mit Informationen aus der Analyse von DNS-Abfragen gespeist. Außerdem wird ein Corelight/Zeek-Skript benötigt, um die DNS-Abfrage in die erforderlichen Komponenten zu zerlegen und „Trusted Domains" zu identifizieren. Die Liste der vertrauenswürdigen Domains ist optional, es wird jedoch empfohlen, Rauschen aus einigen Panels herauszufiltern. Aktualisieren Sie einfach die Liste der vertrauenswürdigen Domains über das Input Framework, und alle neuen Logeinträge werden entsprechend markiert.
Das Skript finden Sie hier: https://github.com/corelight/icannTLD
