Core DNS content pack (контент багц)

← Контент багцууд

Core DNS content pack (контент багц)

Core DNS Processing Illuminate контент багц нь DNS-тэй холбоотой мессежүүдийн нэмэлт боловсруулалт болон DNS-тэй холбоотой лог мессежүүдээс нэмэлт мэдээлэл авахад зориулсан Spotlight багцыг агуулна.

Шаардлага

DNS-тэй холбоотой мессеж агуулсан лог эх сурвалж. Энэ нь DNS query зэрэг шинжилсэн DNS урсгал, эсхүл DNS серверүүдтэй холбоотой урсгал агуулсан сүлжээний урсгалын лог байж болно.

Суурь ойлголт

DNS

DNS буюу Domain Name System нь орчин үеийн сүлжээн дэх чухал протоколуудын нэг бөгөөд аюулгүй байдлын хяналт болон осол хариу арга хэмжээнд (incident response) чухал өгөгдлийн цэг юм.

Боломжууд

Asset интеграци

Энэ багц идэвхжсэн үед Asset enrichment боломжтой хамт ажиллана. Энэ нь зөвшөөрөгдсөн DNS серверүүдийг тодорхойлж, зөвшөөрөгдөөгүй DNS серверүүд рүү очих урсгалыг илрүүлэх боломж олгоно.

DNS хүсэлтийн тооцоолол

Энэ багц DNS хүсэлттэй холбоотой олон өгөгдлийн цэгийг тооцоолох боломжийг олгоно:

• DNS query request-ийн урт
• DNS query response-ийн урт
• DNS query entropy
• DNS серверийн зөвшөөрлийн төлөв

DNS query request/response-ийн урт

Энэ нь DNS хүсэлт эсвэл хариулт дахь тэмдэгтүүдийн тоог энгийнээр тоолсон утга юм. Нийлбэрээр нь хэмжих үед DNS-ийг өгөгдөл гадагш урсгах (data exfiltration) болон command control-д ашигладаг зарим халдлагыг илрүүлэхэд ашигтай.

DNS query-ийн урт

query_request талбар байгаа үед энэ багц query_request_length талбарыг үүсгэнэ.

DNS query response-ийн урт

query_response талбар байгаа үед энэ багц query_response_length талбарыг үүсгэнэ.

Query response-ийн урт нь хариултын уртын ойролцоо хэмжилт юм. DNS хариулт ихэвчлэн салгагч тэмдэгтээр тусгаарлагдсан олон утга агуулж болно. Энэ хэмжилт тэдгээр тэмдэгтийг оролцуулна.

DNS query request entropy-ийн тооцоолол

query_response талбар байгаа үед энэ багц тухайн талбарын утгын entropy-г Shannon-ы entropy алгоритмаар тооцоолж, query_request_entropy талбарт онооно.

Энэ хүрээнд entropy нь өгөгдлийн хэлбэлзлийг хэмждэг. Domain generation algorithm ашигладаг зарим халдлагыг DNS хүсэлтийн утгын entropy-г хэмжиж илрүүлж болно.

DNS серверийн зөвшөөрлийн төлөв

Энэ багц Asset Enrichment-тэй хамт ажиллаж, зөвшөөрөгдсөн DNS сервер гэж тодорхойлогдсон системүүдийг илрүүлнэ. Үүнийг таны сүлжээнд холбогдсон буруу тохируулсан эсвэл зөвшөөрөлгүй төхөөрөмжийг илрүүлэх, сүлжээний ажиллагааны талаарх нөхцөл байдлын мэдрэмжийг нэмэгдүүлэхэд ашиглаж болно.

Энэ багц approved_dns_server талбарыг нэмэх бөгөөд төхөөрөмж зөвшөөрөгдсөн DNS сервер гэж тодорхойлогдсон бол true, тодорхойлогдоогүй бол false Boolean утга авна. Сервер зөвшөөрөгдсөн DNS сервер гэж тодорхойлогдох хүртэл бүх DNS урсгалыг зөвшөөрөгдөөгүй гэж үзэхийг анхаарна уу.

Зөвшөөрөгдсөн DNS серверүүдийг тохируулах

Төхөөрөмжийг зөвшөөрөгдсөн DNS сервер гэж тодорхойлохын тулд түүнийг asset жагсаалтад нэмж, approved_dns_servers ангилал оноох ёстой. Зөвшөөрөгдсөн гадаад DNS серверийн IP хаягуудыг assets хуудсан дээр нэмж болно.

1. 1
   Security Data Lake дотор Security > Assets руу орно.
2. 2
   Хэрэв asset-ууд өмнө нь тодорхойлогдсон бол зөвшөөрөл өгөх DNS серверийн одоо байгаа бичлэгийг хайна. Зөвшөөрөх DNS серверийн asset бичлэг өмнө нь байгаа бол дараах алхмуудыг хийнэ:

   1. Тухайн asset-ийн actions (...) товчийг дараад Edit-ийг сонгоно.
   2. General info дор Categories талбарыг олно.
   3. Энэ талбарт approved_dns_servers гэж оруулаад Enter дарна.
   4. Save Asset товч гарч иртэл Next дээр дахин дахин дарна.
   5. Save Asset дээр дарна.
3. 3
   Хэрэв одоо байгаа asset бичлэг байхгүй бол дараах алхмуудыг хийнэ:

   1. New Asset-ийг сонгоно.
   2. Asset Name-ийг оруулна.
   3. IP Addresses талбарт DNS серверт холбогдох IP хаягийг оруулаад Enter дарна.
   4. Зөвшөөрөгдсөн DNS серверт холбогдох нэмэлт IP хаяг бүрт өмнөх алхмыг давтана.
   5. Энэ asset-ийн бусад талбарт хамааралтай мэдээллийг нэмнэ.
   6. Asset бичлэгийн маягтын дараагийн хуудас руу орохын тулд Next-ийг сонгоно.
   7. Хүссэн нэмэлт талбаруудыг оруулаад дууссаны дараа Next-ийг сонгоно.
   8. Asset бичлэгийн цонхны хуудас бүрт энэ процессыг давтана.
   9. Asset бичлэгийн цонхны сүүлийн хуудсан дээр Save Entry дээр дарна.

DNS Processing Spotlight content pack

DNS Processing Spotlight контент багц нь DNS үйл ажиллагааны талаарх мэдээлэл өгөх dashboard агуулна.

Dashboard: Illuminate:DNS Analysis

• DNS Activity Summary таб: Ангилсан DNS үйл явдлуудын ерөнхий дүр зураг.
• DNS Assets таб: Зөвшөөрөгдсөн болон зөвшөөрөгдөөгүй DNS серверүүд рүү очих DNS урсгалыг хянах.