DNS数据分析


=Start=

缘由:

前几天花了点时间做了一下办公网DNS数据的分析,没有及时记录,怕过段时间就全忘了,今天有时间就整理记录一部分,方便以后参考。

正文:

参考解答:

先简单说一下分析DNS数据的意义和目的:

  1. DNS的作用非常简单——根据域名查对应的IP地址,但非常重要——DNS是互联网核心协议之一。
  2. 当一台设备接入公司的网络之后,它的流量都会流经公司内的网络设备,但因为HTTPS等加密协议的原因,即便你的流量经过了公司的网络设备但公司也没办法知道你在这些HTTPS网站内的具体行为(除非有对应的密钥能对流量进行解密),这对于普通人来说是好事,因为更安全了,但黑客和一些不怀好意的人也在利用这一点做坏事——此时安全人员无法进行有效检测,也就无法快速响应安全事件。虽然此时我们拿不到请求和响应内容了,但并不代表我们什么都做不了,DNS数据此时就提供了一些参考——它能粗略知道你大概访问了哪些域名,因为你要借助DNS来查找实际提供服务的IP地址,除非你完全放弃便利和可靠性,直接用固定IP进行通信。
  3. 当你能拿到相应的DNS数据之后,通过分析,你就可以清楚地知道在你的网络范围内哪些IP(后面对应的是设备/账号)分别在什么时间查询了哪些域名,当时查询返回的IP是什么。
  4. 也就可以知道在网络攻击/钓鱼行动中哪些内部用户受到了影响,从而就可以有的放矢的进行安全应急了。

==

具体的分析流程就是,先找到公司内和办公网DNS相关的数据表(没有的话赶紧找IT同学做记录和接入,要不等到出事的时候就晚了),然后分别抽样看看都记录了哪些字段,好有个大概的印象;然后抽出重点字段进行分析和关注。

从抽样数据来看可以得到以下几个信息:
1、日志是由 dnsmasq 这个程序记录的;
2、核心字段有5个(timestamp/type/domain/action/hostip)。

字段名 字段值
timestamp 2022-09-07 23:59:58
type query[AAAA]
domain www.google.com
action from
hostip 172.30.87.146

查询类型type分析

参考 WikiPedia 就行,办公网的案件溯源一般关注 query[A]/query[AAAA]

查询操作action分析

  • action=from 记录的是由客户端发起的DNS查询请求,即client_ip想知道domain的ip是什么
  • action=is 记录的是DNS查询的结果,即domain的ip实际是什么
  • action=to 主要记录的是指定DNS服务器进行查询,将domain的查询转发到指定的dns服务器上

action = ‘is’ 的dns日志,基本上是回复查询对象某个域名的IP是多少,hostip字段是域名的IP而不是查询对象的IP。type的取值范围是(reply#/etc/hosts#config#cached):

含义分别为:

  • cached 从缓存中返回之前查询到的结果
  • reply 返回查询结果
  • config 配置域名和IP的对应关系(能配置的基本都是内部域名)
  • /etc/hosts 从本地hosts文件(都是内部域名)中查询并返回结果

action = ‘to’ 的dns日志,其中 type=forwarded 是转发操作的日志,即指定dns服务器进行查询,所以hostip记录的是那几个常见的dns服务器的IP,比如Google的 8.8.8.8 阿里的 223.5.5.5 腾讯的119.29.29.29 等。

action = ‘to’ 的dns日志只有 type=forwarded 还有点用,但在调查的时候也没有大用,因为基本都是dns查询转发,没有记录发起dns查询请求的主机IP。

总体来看:只有 action = ‘from’ 的dns日志记录了发起dns查询请求的主机IP(可以用于辅助判断某个主机IP有没有使用过特定服务),且一般是type取值为(‘query[A]’,’query[AAAA]’)的是查域名对应IP的常规请求。

就DNS数据来说,核心的功能点在于提供以下2类信息:

  1. 哪个IP在什么时间点查了哪个域名(dns_log);
  2. 在相应时间点被查询域名的IP返回的是什么(dns_ip)。

从日常案件调查的情况来看,主要关注的query_type在于(‘query[A]’,’query[AAAA]’),即查询目标域名IP的查询请求(dns_log);
但最好也保存一下被查询域名的IP查询结果(dns_ip),对于溯源那些存活生命周期很短的domain/ip时很有用。

参考链接:

The Importance of DNS Logging in Enterprise Security
https://nxlog.co/whitepapers/dns-logging

什么是 DNS? | DNS 的工作方式
https://www.cloudflare.com/zh-cn/learning/dns/what-is-dns/

域名系统
https://zh.wikipedia.org/zh-sg/%E5%9F%9F%E5%90%8D%E7%B3%BB%E7%BB%9F
https://en.wikipedia.org/wiki/Domain_Name_System

List of DNS record types
https://en.wikipedia.org/wiki/List_of_DNS_record_types

=END=


发表评论

您的电子邮箱地址不会被公开。