فناوری Fast Flux DNS یک تکنیک پنهان‌کاری است که توسط مهاجمان برای فرار از شناسایی و کاهش تأثیر اقدامات دفاعی امنیتی استفاده می‌شود. این تکنیک بیشتر در شبکه‌های بات‌نت، فیشینگ، و بدافزارها به کار می‌رود.

نحوه عملکرد Fast Flux DNS
در این روش، مهاجمان به‌طور مداوم آدرس‌های IP مربوط به یک نام دامنه را تغییر می‌دهند. این تغییرات معمولاً توسط یک شبکه گسترده از کامپیوترهای آلوده (botnet) انجام می‌شود که به‌عنوان پراکسی عمل می‌کنند. هدف این کار جلوگیری از مسدود شدن دامنه مخرب و ایجاد یک ساختار توزیع‌شده برای پنهان کردن سرور اصلی است.

انواع Fast Flux
Single Flux:
در این روش، آدرس IP‌های مربوط به یک دامنه به‌طور مداوم و با TTL (Time-to-Live) بسیار کوتاه تغییر می‌کنند.
Double Flux:
علاوه بر تغییر مداوم IP دامنه، رکوردهای NS (Name Server) نیز در حال تغییر هستند. این روش امنیت را برای مهاجمان بالاتر می‌برد.

چرا Fast Flux مؤثر است؟
دور زدن فیلترهای امنیتی: چون IP به‌سرعت تغییر می‌کند، لیست‌های سیاه (blacklist) کارایی کمتری دارند.
مقاومت در برابر شناسایی: سرور واقعی پشت یک لایه از پراکسی‌های آلوده پنهان می‌ماند.
توزیع بار: باعث پایداری سرویس‌های مخرب مانند فیشینگ، بدافزار و C2 (Command and Control) می‌شود.

راه‌های مقابله با Fast Flux
تحلیل رفتار DNS: شناسایی تغییرات غیرعادی و مداوم در IPهای یک دامنه.
مقایسه TTL‌های کوتاه: دامنه‌هایی با TTL بسیار کوتاه می‌توانند مشکوک باشند.
استفاده از اطلاعات Threat Intelligence:
سرویس‌هایی مانند Cisco Umbrella، OpenDNS، و Threat Intelligence Feeds می‌توانند دامنه‌های مشکوک را شناسایی کنند.
آنالیز ارتباطات شبکه: بررسی الگوی ارتباطات بات‌نت و شناسایی رفتارهای غیرعادی.
این روش یکی از تکنیک‌های پیشرفته فرار از شناسایی در دنیای تهدیدات سایبری است که همچنان توسط بدافزارها و مهاجمان استفاده می‌شود.


حالا گزارش جدید CISA رو بخونید

#آکادمی_روزبه

https://www.bleepingcomputer.com/news/security/cisa-warns-of-fast-flux-dns-evasion-used-by-cybercrime-gangs/