BIND DNS: правила корреляции

Таблица содержит сведения о разработанных правилах корреляции, включая их краткое описание и перечень тактик и техник MITRE ATT&CK, которые они охватывают.

Отдельные правила корреляции используют данные из активных списков для учета особенностей среды функционирования. Для полноценной работы правил необходимо наполнить списки актуальной информацией, иначе возможны ложные срабатывания или пропуск угроз. С подробным описанием и требованиями к данным можно ознакомиться в Памятке по настройке активных списков.

ID правила	Название правила	Описание	Тактики и техники
RV-D-1309	Подозрительные DNS-запросы к домену trycloudflare.com	Cloudflare Tunnel — это решение, изначально предназначенное для безопасной публикации внутренних ресурсов через инфраструктуру Cloudflare. Однако из-за своей гибкости и простоты запуска он стал популярным и среди атакующих. Особый интерес вызывает возможность создания туннеля без регистрации с использованием временного домена trycloudflare.com. Данное правило выявляет подозрительные DNS-запросы к этому домену. Такие действия могут быть связаны с атакующими, стремящимися установить скрытый доступ к сети или маскировать свою активность через прокси-серверы.	Resource Development (TA0042) Command and Control (TA0011) Proxy (T1090) Protocol Tunneling (T1572) Acquire Infrastructure (T1583) Web Services (T1583.006)
RV-D-1385	DNS-запрос к домену localtonet	Данное правило выявляет подозрительные DNS-запросы к домену localtonet, которые могут указывать на использование утилиты для туннелирования трафика или другие попытки обхода защитных механизмов. Такие действия могут быть связаны с атакующими, стремящимися установить скрытый доступ к сети или маскировать свою активность через прокси-серверы.	Command and Control (TA0011) Protocol Tunneling (T1572)
RV-D-1386	Передача зоны DNS на недоверенный узел (AXFR)	AXFR Zone Transfer — это метод передачи всей зоны DNS (репликация зоны) между серверами, который может быть использован атакующими для получения полного содержимого зоны на этапе разведки и сбора информации. Данное правило отслеживает запросы типа AXFR к зонам и определяет их отправку на недоверенные хосты.	Reconnaissance (TA0043) Gather Victim Network Information (T1590) DNS (T1590.002)
RV-D-1387	DNS-запрос к подозрительным внешним службам	Данное правило выявляет подозрительные DNS-запросы к доменам внешних служб, которые часто используются популярными сканерами уязвимостей и платформами для тестирования безопасности веб-приложений. Такие инструменты могут применяться атакующими на начальной стадии атаки для сбора разведывательной информации.	Reconnaissance (TA0043) Initial Access (TA0001) Exploit Public-Facing Application (T1190) Active Scanning (T1595) Vulnerability Scanning (T1595.002)
RV-D-1388	Обнаружен DNS-запрос к пулам Monero	Это правило обнаруживает подозрительные DNS-запросы к доменам, связанным с известными пулами майнинга Monero, что может указывать на вредоносную деятельность, такую как майнинг криптовалюты с использованием скомпрометированных хостов. После срабатывания правила важно определить, какой клиент инициировал DNS-запрос. Если активность подозрительна, необходимо заблокировать доступ к этим доменам и провести тщательный анализ хоста на предмет потенциальных компрометаций или программного обеспечения для майнинга.	Impact (TA0040) Resource Hijacking (T1496) Compute Hijacking (T1496.001)
RV-D-1392	Использование DNS-туннеля	DNS Tunneling — это метод кодирования передаваемой информации в DNS запросах. Данный метод может использоваться атакующими для обхода правил межсетевого экранирования и эксфильтрации данных. Правило отслеживает уникальные запросы для одного домена (значения после первой точки). При достижении заданного порога генерируются корреляционные события. Данное правило направлено на выявление DNS-запросов, содержащих base64-закодированные строки.	Command and Control (TA0011) Exfiltration (TA0010) Exfiltration Over Alternative Protocol (T1048) Exfiltration Over Unencrypted Non-C2 Protocol (T1048.003) Application Layer Protocol (T1071) DNS (T1071.004) Data Encoding (T1132) Standard Encoding (T1132.001)
RV-D-1393	DNS-запрос к ресурсам Telegram API	Данное правило выявляет подозрительные DNS-запросы к домену api.telegram.org, которые могут использоваться ботами Telegram для передачи данных или выполнения управляющих команд. Такие действия потенциально могут быть связаны с обходом защитных механизмов и скрытой вредоносной активностью.	Command and Control (TA0011) Exfiltration (TA0010) Exfiltration Over Alternative Protocol (T1048) Exfiltration Over Unencrypted Non-C2 Protocol (T1048.003) Application Layer Protocol (T1071) DNS (T1071.004) Web Service (T1102) Bidirectional Communication (T1102.002)
RV-D-1394	Обнаружен DNS-запрос к Killswitch-домену WannaCry	KillSwitch — это механизм экстренной остановки ВПО, встроенный разработчиками, который позволяет отключить или прекратить распространение вредоносной программы. В случае WannaCry, KillSwitch был реализован через проверку доступности определённого домена. Данное правило предназначено для выявления DNS-запросов к KillSwitch-доменам, связанным с WannaCry. Данное поведение может указывать на компрометацию хоста и заражение вредоносным ПО.	Execution (TA0002) User Execution (T1204) Malicious File (T1204.002)
RV-D-1395	Множественные DNS-запросы с одного устройства	Множественные запросы к одному ресурсу с одного/различных хостов могут указывать на активность вредоносного ПО, устанавливающего связь с C2-серверами атакующего. Так атакующие могут взаимодействовать, используя протокол уровня приложений системы доменных имен (DNS), чтобы избежать обнаружения/сетевой фильтрации, смешиваясь с существующим трафиком.	Command and Control (TA0011) Exfiltration (TA0010) Exfiltration Over Alternative Protocol (T1048) Exfiltration Over Unencrypted Non-C2 Protocol (T1048.003) Application Layer Protocol (T1071) DNS (T1071.004)

ID правила

Название правила

Описание

Тактики и техники

RV-D-1309

Подозрительные DNS-запросы к домену trycloudflare.com

Cloudflare Tunnel — это решение, изначально предназначенное для безопасной публикации внутренних ресурсов через инфраструктуру Cloudflare. Однако из-за своей гибкости и простоты запуска он стал популярным и среди атакующих. Особый интерес вызывает возможность создания туннеля без регистрации с использованием временного домена trycloudflare.com. Данное правило выявляет подозрительные DNS-запросы к этому домену. Такие действия могут быть связаны с атакующими, стремящимися установить скрытый доступ к сети или маскировать свою активность через прокси-серверы.

Resource Development (TA0042)
Command and Control (TA0011)
Proxy (T1090)
Protocol Tunneling (T1572)
Acquire Infrastructure (T1583)
Web Services (T1583.006)

RV-D-1385

DNS-запрос к домену localtonet

Данное правило выявляет подозрительные DNS-запросы к домену localtonet, которые могут указывать на использование утилиты для туннелирования трафика или другие попытки обхода защитных механизмов. Такие действия могут быть связаны с атакующими, стремящимися установить скрытый доступ к сети или маскировать свою активность через прокси-серверы.

Command and Control (TA0011)
Protocol Tunneling (T1572)

RV-D-1386

Передача зоны DNS на недоверенный узел (AXFR)

AXFR Zone Transfer — это метод передачи всей зоны DNS (репликация зоны) между серверами, который может быть использован атакующими для получения полного содержимого зоны на этапе разведки и сбора информации. Данное правило отслеживает запросы типа AXFR к зонам и определяет их отправку на недоверенные хосты.

Reconnaissance (TA0043)
Gather Victim Network Information (T1590)
DNS (T1590.002)

RV-D-1387

DNS-запрос к подозрительным внешним службам

Данное правило выявляет подозрительные DNS-запросы к доменам внешних служб, которые часто используются популярными сканерами уязвимостей и платформами для тестирования безопасности веб-приложений. Такие инструменты могут применяться атакующими на начальной стадии атаки для сбора разведывательной информации.

Reconnaissance (TA0043)
Initial Access (TA0001)
Exploit Public-Facing Application (T1190)
Active Scanning (T1595)
Vulnerability Scanning (T1595.002)

RV-D-1388

Обнаружен DNS-запрос к пулам Monero

Это правило обнаруживает подозрительные DNS-запросы к доменам, связанным с известными пулами майнинга Monero, что может указывать на вредоносную деятельность, такую как майнинг криптовалюты с использованием скомпрометированных хостов. После срабатывания правила важно определить, какой клиент инициировал DNS-запрос. Если активность подозрительна, необходимо заблокировать доступ к этим доменам и провести тщательный анализ хоста на предмет потенциальных компрометаций или программного обеспечения для майнинга.

Impact (TA0040)
Resource Hijacking (T1496)
Compute Hijacking (T1496.001)

RV-D-1392

Использование DNS-туннеля

DNS Tunneling — это метод кодирования передаваемой информации в DNS запросах. Данный метод может использоваться атакующими для обхода правил межсетевого экранирования и эксфильтрации данных. Правило отслеживает уникальные запросы для одного домена (значения после первой точки). При достижении заданного порога генерируются корреляционные события. Данное правило направлено на выявление DNS-запросов, содержащих base64-закодированные строки.

Command and Control (TA0011)
Exfiltration (TA0010)
Exfiltration Over Alternative Protocol (T1048)
Exfiltration Over Unencrypted Non-C2 Protocol (T1048.003)
Application Layer Protocol (T1071)
DNS (T1071.004)
Data Encoding (T1132)
Standard Encoding (T1132.001)

RV-D-1393

DNS-запрос к ресурсам Telegram API

Данное правило выявляет подозрительные DNS-запросы к домену api.telegram.org, которые могут использоваться ботами Telegram для передачи данных или выполнения управляющих команд. Такие действия потенциально могут быть связаны с обходом защитных механизмов и скрытой вредоносной активностью.

Command and Control (TA0011)
Exfiltration (TA0010)
Exfiltration Over Alternative Protocol (T1048)
Exfiltration Over Unencrypted Non-C2 Protocol (T1048.003)
Application Layer Protocol (T1071)
DNS (T1071.004)
Web Service (T1102)
Bidirectional Communication (T1102.002)

RV-D-1394

Обнаружен DNS-запрос к Killswitch-домену WannaCry

KillSwitch — это механизм экстренной остановки ВПО, встроенный разработчиками, который позволяет отключить или прекратить распространение вредоносной программы. В случае WannaCry, KillSwitch был реализован через проверку доступности определённого домена. Данное правило предназначено для выявления DNS-запросов к KillSwitch-доменам, связанным с WannaCry. Данное поведение может указывать на компрометацию хоста и заражение вредоносным ПО.

Execution (TA0002)
User Execution (T1204)
Malicious File (T1204.002)

RV-D-1395

Множественные DNS-запросы с одного устройства

Множественные запросы к одному ресурсу с одного/различных хостов могут указывать на активность вредоносного ПО, устанавливающего связь с C2-серверами атакующего. Так атакующие могут взаимодействовать, используя протокол уровня приложений системы доменных имен (DNS), чтобы избежать обнаружения/сетевой фильтрации, смешиваясь с существующим трафиком.

Command and Control (TA0011)
Exfiltration (TA0010)
Exfiltration Over Alternative Protocol (T1048)
Exfiltration Over Unencrypted Non-C2 Protocol (T1048.003)
Application Layer Protocol (T1071)
DNS (T1071.004)

Была ли полезна эта страница?

Обратная связь