corelight/dashboards-splunk-dns-hunting-beaconingビーコニングのハンティングと識別のための DNS ダッシュボード
ビーコニングを検知・特定するためのDNSダッシュボード
このダッシュボードは、「信頼できるドメイン」の特定に、サードパーティ製モジュールやSplunkのルックアップテーブルを一切使用しなくなりました。その処理はすべてCorelight/Zeekセンサーに移行されています。
ただし、ダッシュボードでは内部DNSサーバーと許可されたDNSサーバーを特定するために、2つのSplunkルックアップテーブルを使用します。
'internal_dns_servers.csv' は、外部DNSサーバーと通信することを許可されたすべての内部DNSサーバーのリストです。 'authorized_dns_servers.csv' は、他のデバイスが直接通信することを許可されたすべてのDNSサーバーのリストです。
注: ルックアップテーブルファイルをSplunkに追加したら、そのテーブルファイルに適切な権限を設定してください。
このダッシュボードの中核は、DNSクエリの解析から得られる情報で構成されています。また、DNSクエリを必要なコンポーネントに解析し、「信頼できるドメイン」を特定するためのCorelight/Zeekスクリプトも必要です。信頼できるドメインのリストは任意ですが、一部のパネルからノイズを除去するために推奨されます。Input Frameworkを介して信頼できるドメインのリストを更新するだけで、以降のすべての新しいログエントリにその旨がマークされます。
スクリプトはこちらにあります: https://github.com/corelight/icannTLD
