corelight/dashboards-splunk-dns-hunting-beaconingbeaconing 헌팅 및 식별을 위한 DNS 대시보드
비코닝(beaconing)을 탐지하고 식별하기 위한 DNS 대시보드
이 대시보드는 더 이상 "Trusted Domains" 식별에 타사 모듈이나 Splunk 조회(lookup) 테이블을 사용하지 않습니다. 해당 작업은 모두 Corelight/Zeek 센서로 이전되었습니다.
그러나 이 대시보드는 내부 DNS 서버와 승인된 DNS 서버를 식별하기 위해 두 개의 Splunk 조회 테이블을 사용합니다.
'internal_dns_servers.csv' 파일은 외부 DNS 서버와 통신하도록 승인된 모든 내부 DNS 서버의 목록입니다. 'authorized_dns_servers.csv' 파일은 다른 장치가 직접 통신하도록 승인된 모든 DNS 서버의 목록입니다.
참고: 조회 테이블 파일을 Splunk에 추가한 후에는 테이블 파일에 적절한 권한을 설정해야 합니다.
이 대시보드의 핵심은 DNS 쿼리를 파싱하여 얻은 정보로 채워집니다. 또한 DNS 쿼리를 필요한 구성 요소로 파싱하고 "Trusted Domains"를 식별하려면 Corelight/Zeek 스크립트가 필요합니다. trusted domains 목록은 선택 사항이지만, 일부 패널에서 노이즈를 필터링하려면 권장됩니다. Input Framework를 통해 trusted domains 목록만 업데이트하면 모든 새 로그 항목이 그에 따라 표시됩니다.
스크립트는 다음 위치에서 찾을 수 있습니다: https://github.com/corelight/icannTLD
