Top DNS 측정

개요

이 스크립트는 Bro에 내장된 확률적 측정 메커니즘을 사용하여 정의 가능한 시간 동안 수행되는 상위 DNS 요청(쿼리 유형, 즉 CNAME, A, AAAA 등)을 측정합니다. 이는 "top_dns.log"라는 새 로그에 기록됩니다.

확률적 메커니즘을 사용함으로써 이 작업은 메모리 효율적인 방식으로 수행될 수 있으며, 이 스크립트를 로드해도 대부분의 배포 환경에서 실질적으로 중요한 성능 영향은 없어야 합니다.

bro-pkg refresh
bro-pkg install bro/corelight/top-dns

로깅/측정 간격을 변경하려면 다음 스니펫을 사용하십시오(기본값은 15분입니다)::

redef TopDNS::logging_interval = 1hr;

각 쿼리 유형에 대한 기본값인 10개보다 많거나 적게 로그하려면 다음 스니펫을 사용할 수 있습니다::

redef TopDNS::top_k = 20;

MX 레코드 쿼리와 같은 항목을 측정에 추가하려면 다음 스니펫을 추가할 수 있습니다::

redef TopDNS::records += {"MX"};

기본적으로 이 패키지는 전체 도메인을 기준으로 측정합니다. "도메인"으로 축소하여 측정하려면(www.google.co.uk는 google.co.uk로 축소됨) local.bro에서 다음 스니펫을 사용할 수 있습니다::

redef TopDNS::use_trimmed_domain = T;