corelight/icanntld公式ICANNトップレベルドメイン（TLD）リストをInput Frameworkと併用するZeekスクリプトで、DNSクエリから関連情報を抽出し、信頼できるかどうかをマークします。ICANN TLDのソースはこちらにあります: https://publicsuffix.org/list/effective_tld_names.dat。Trusted Domainsリストは、検索中にドメインをフィルタリングするためにユーザーが作成したカスタムリストです。
Input Framework を使用して公式のICANNトップレベルドメイン（TLD）リストを利用するZeekスクリプトで、DNSクエリから関連情報を抽出し、信頼できるかどうかをマークします。ICANN TLDのソースはこちらにあります: https://publicsuffix.org/list/effective_tld_names.dat. Trusted Domainsリストは、検索中にドメインをフィルタリングするためにユーザーが作成するカスタムリストです。
icannTLDはすべてのDNSクエリを解析し、DNSログに以下のフィールドを追加します。
| フィールド | 値 | 説明 |
|---|---|---|
| icann_tld | これは、ICANNの公式TLDリストに基づくトップレベルドメインです。 | |
| icann_domain | これは、ICANNの公式TLDリストに基づくドメインです。 | |
| icann_host_subdomain | これは、ドメインが削除された後のクエリの残りのノードです。 場合によってはサブドメイン、他の場合はホスト名、さらに他の場合はホスト名とサブドメインです。 | |
| is_trusted_domain | true/false | 各クエリは、icann_domainとカスタムの trusted_domains.dat ファイルに基づいて、trueまたはfalseにマークされます。 |
注: このスクリプトは現在、第1レベルドメイン（つまり ".com"）のリストを使用していません。トップレベルドメイン（TLD）が2、3、または4部構成の正規表現パターンに一致しない場合、それは第1レベルTLDであると見なされます。
input_filesフォルダ内のファイルは、このスクリプトパッケージをロードする前にセンサーにロードする必要があります。 必要に応じて、GUIまたはCorelight Clientを介してセンサーに直接ロードできます。
Corelight-update は現在、必要な入力ファイルの作成と維持をサポートしています。
オープンソースZeekの手順は異なる場合があります。
corelight-client -b <sensor_address> bro input upload --name 1st_level_public_icann.dat --file ./source_files/1st_level_public_icann.dat
corelight-client -b <sensor_address> bro input upload --name 2nd_level_public_icann.dat --file ./source_files/2nd_level_public_icann.dat
corelight-client -b <sensor_address> bro input upload --name 3rd_level_public_icann.dat --file ./source_files/3rd_level_public_icann.dat
corelight-client -b <sensor_address> bro input upload --name 4th_level_public_icann.dat --file ./source_files/4th_level_public_icann.dat
corelight-client -b <sensor_address> bro input upload --name trusted_domains.dat --file ./source_files/trusted_domains.dat
zkg install https://github.com/corelight/icannTLD.git
今日では、誰でもTLDを購入できるため、このリストは頻繁に変更される可能性があります。 ICANNは変更が行われるたびに1日に数回リストを更新し、毎日取得することができます。
TLDは一般的に2つのカテゴリに分けられます:
リストをMozilla.orgから直接取得してCorelight/Zeekセンサーに配置することはできません。 まず正しくフィルタリングしてフォーマットする必要があります。 Corelight-update は現在、必要な入力ファイルの作成と維持をサポートしています。
注: trusted_domains.datファイルは手動で作成する必要があります。 その後、手動でアップロードするか、Corelight-update を使用して入力ファイルをアップロードできます。