DNS Hunting-Beaconing v19.2.0.0

Дашборд DNS для поиска и выявления биконинга

Этот дашборд больше не использует сторонние модули или таблицу поиска Splunk для идентификации «Trusted Domains». Вся эта работа перенесена в сенсор Corelight/Zeek.

Однако дашборд использует две lookup-таблицы Splunk для идентификации внутренних и авторизованных DNS-серверов.

• Файл 'internal_dns_servers.csv' — это список всех внутренних DNS-серверов, которым разрешено обращаться к внешним DNS-серверам.
• Файл 'authorized_dns_servers.csv' — это список всех DNS-серверов, к которым другим устройствам разрешено обращаться напрямую.

ПРИМЕЧАНИЕ. После добавления файла таблицы поиска в Splunk убедитесь, что вы установили соответствующие разрешения для этого файла.

Основная часть этого дашборда заполняется информацией из разбора DNS-запросов. Для этого также требуется скрипт Corelight/Zeek, который разбирает DNS-запрос на необходимые компоненты и идентифицирует «Trusted Domains». Список доверенных доменов необязателен, однако его рекомендуется использовать для фильтрации шума на некоторых панелях. Просто обновите список доверенных доменов через Input Framework, и все новые записи журнала будут помечены соответствующим образом.

Скрипт можно найти здесь, https://github.com/corelight/icannTLD