gamelinux/passivednsEin Netzwerk-Sniffer, der alle DNS-Server-Antworten protokolliert, um sie in einem passiven DNS-Setup zu verwenden.
Ein Werkzeug zum passiven Sammeln von DNS-Einträgen zur Unterstützung der Incident-Handhabung, des Netzwerksicherheitsmonitorings (NSM) und der allgemeinen digitalen Forensik.
PassiveDNS zeichnet Datenverkehr von einer Schnittstelle auf oder liest eine pcap-Datei und gibt die Antworten des DNS-Servers in eine Logdatei aus. PassiveDNS kann doppelte DNS-Antworten im Arbeitsspeicher zwischenspeichern/aggregieren, wodurch die Datenmenge in der Logdatei begrenzt wird, ohne das Wesentliche der DNS-Antwort zu verlieren.
Beispielausgabe ab Version 1.0.0->Current in der Logdatei (/var/log/passivedns.log):
#timestamp||dns-client ||dns-server||RR class||Query||Query Type||Answer||TTL||Count 1322849924.408856||10.1.1.1||8.8.8.8||IN||upload.youtube.com.||A||74.125.43.117||46587||5 1322849924.408857||10.1.1.1||8.8.8.8||IN||upload.youtube.com.||A||74.125.43.116||420509||5 1322849924.408858||10.1.1.1||8.8.8.8||IN||www.adobe.com.||CNAME||www.wip4.adobe.com.||43200||8 1322849924.408859||10.1.1.1||8.8.8.8||IN||www.adobe.com.||A||193.104.215.61||43200||8 1322849924.408860||10.1.1.1||8.8.8.8||IN||i1.ytimg.com.||CNAME||ytimg.l.google.com.||43200||3 1322849924.408861||10.1.1.1||8.8.8.8||IN||clients1.google.com.||A||173.194.32.3||43200||2
PassiveDNS funktioniert mit IPv4- und IPv6-Datenverkehr und analysiert DNS-Datenverkehr über TCP und UDP.
** Wie kann PassiveDNS verwendet werden: **
Typische Anwendungsfälle:
Suche nach Domain- oder IP-Verlauf bei der Bearbeitung eines Vorfalls. Beispiel: Ein Unternehmen hat Malware, die mit böswilliger twittertoday.com kommuniziert. Zum aktuellen Zeitpunkt löst sich die Domain in z. B. 202.29.94.200 auf. Sie durchsuchen Ihre Flowdaten und finden die Clients, die mit dieser IP kommunizieren, und ergreifen Gegenmaßnahmen. Sie betrachten die Flowdaten und stellen fest, zu welchem Datum und zu welcher Uhrzeit die Clients zum ersten Mal mit dieser IP kommuniziert haben, und schließen daraus auf den Zeitpunkt der Infektion...
Mit PassiveDNS-Daten erhalten Sie durch Abfrage der Domain folgenden Verlauf:
2011-12-01 | 2011-12-11 | A | 60 | bad.twittertoday.com | 71.51.115.11 2011-12-11 | 2011-12-18 | A | 60 | bad.twittertoday.com | 127.0.0.1 2011-12-18 | 2012-01-14 | A | 60 | bad.twittertoday.com | 202.29.94.200
Wenn Sie zurückgehen und in Ihren Flowdaten nach 71.51.115.11 suchen, finden Sie Datenverkehr zurück zum FirstSeen-Datum, und Sie sehen auch weitere anfänglich infizierte Clients (Sie haben es also nicht geschafft, alle Ihre Clients im ersten Durchlauf zu überprüfen/sanieren, indem Sie nur die IP 202.29.94.200 betrachtet haben). Eine forensische Untersuchung der Clients, die Sie im ersten Durchlauf übersehen haben, zeigt, dass diese eine andere Malware heruntergeladen und die ursprüngliche gelöscht haben, was der Grund dafür war, dass Sie keine Datenflüsse von ihnen zu 202.29.94.200 gesehen haben. Die neue Malware liefert Ihnen neue Domains und IPs, nach denen Sie suchen können...
Angenommen, Sie haben einen Hinweis auf bösartigen C&C-Datenverkehr zu einer IP auf Port 80. Die von der angeblichen Malware verwendete Domain soll cc.twittertoday.com sein. Eine Suche in Ihren Flowdaten zeigt viele Clients, die mit dieser IP kommunizieren, und Sie könnten denken, dass das gesamte Unternehmen kompromittiert ist. Eine schnelle Suche in Ihrer PassiveDNS-Datenbank zeigt Ihnen, dass die fragliche IP auch 300+ Websites hostet, und Sie könnten sogar eine auf dieser IP gehostete Website entdecken, die Ihnen bekannt ist und von der Sie wissen, dass viele Personen im Unternehmen sie täglich legitimerweise besuchen. Wenn Sie in Ihrer PassiveDNS-Datenbank keine Treffer für die fragliche Domain finden, bedeutet dies hoffentlich, dass Sie diese Malware, die mit dieser Domain kommuniziert, nicht in Ihrem Netzwerk haben.
Sie wissen, dass *.twittertoday.com oft in Malware verwendet wird und die Subdomains sich zufällig ändern. Viele haben Regeln für solche Domains in ihren IDS/IPS, die unnötige Ressourcen der Systeme verbrauchen. Ein Skript zu haben, das mit einer Liste von Regex-Mustern für zu überwachende Domains und Subdomains vorab geladen ist und Sie alarmiert, wenn diese auftreten, bietet eine viel bessere Erkennung von Bedrohungen auf Basis von Domains.
Sie können auch einen Whois für alle neuen Top-Domains durchführen, die Whois- Informationen mit einer Liste bekannter bösartiger Informationen korrelieren (wie z. B. den Namen der Person oder des Unternehmens, das die Domain registriert hat, Telefon-/Faxnummern, Adresse usw.) und so zu einer Bewertung gelangen, die hoch genug sein könnte, um einen Alarm auszulösen :)
Fragen, Anregungen, Zucker oder Kritik sind jederzeit willkommen :)
Ich hoffe, PassiveDNS gibt Ihnen ein neues Werkzeug, um Malware und ihre Herden zu bekämpfen...
(c)2011-2020 - Edward Bjarte Fjellskål
