Измерение самых частых DNS-запросов

Обзор

Этот скрипт использует встроенный вероятностный механизм измерения в Bro для оценки самых частых DNS-запросов (по типу запроса, т.е. CNAME, A, AAAA и т.д.), выполняемых за заданный период времени. Результат записывается в новый журнал "top_dns.log".

Благодаря использованию вероятностного механизма эта задача может быть выполнена эффективным по памяти способом, и загрузка этого скрипта не должна оказывать сколь-либо значительного влияния на производительность в большинстве развертываний.

Установка

::

bro-pkg refresh
bro-pkg install bro/corelight/top-dns

Настройка

Если вы хотите изменить интервал логирования/измерения, используйте следующий фрагмент (по умолчанию — 15 минут)::

redef TopDNS::logging_interval = 1hr;

Если вы хотите логировать больше или меньше имён, чем 10 по умолчанию для каждого типа запроса, используйте следующий фрагмент::

redef TopDNS::top_k = 20;

Если вы хотите добавить к измерению, например, запросы MX-записей, вы можете добавить следующий фрагмент::

redef TopDNS::records += {"MX"};

По умолчанию этот пакет выполняет измерения на основе полного домена. Если вы хотите выполнять измерения на основе сокращения до «домена» (www.google.co.uk будет сокращён до google.co.uk), используйте следующий фрагмент в local.bro::

redef TopDNS::use_trimmed_domain = T;