راهکار DNS Sinkholing چگونه سیستم آلوده را شناسایی می‌کند؟
قابلیت DNS Sinkholing در فایروال‌های Palo Alto برای شناسایی میزبان‌هایی به‌کار می‌رود که قصد ارتباط با دامنه‌های مخرب یا سرورهای فرماندهی و کنترل را دارند. در شبکه‌هایی که کلاینت‌ها از DNS Server داخلی استفاده می‌کنند، فایروال ممکن است فقط آدرس سرور DNS را در لاگ مشاهده کند و نتواند درخواست را به سیستم آلوده نسبت دهد.
با فعال‌شدن DNS Sinkholing، فایروال درخواست مربوط به دامنه مخرب را تشخیص می‌دهد و به‌جای آدرس واقعی آن، یک IP کنترل‌شده به نام Sinkhole IP به کلاینت بازمی‌گرداند. بدافزار سپس تلاش می‌کند به این IP متصل شود. این اتصال در Traffic Log با آدرس واقعی کلاینت ثبت می‌شود و تیم SOC می‌تواند میزبان آلوده را شناسایی کند.
راهکار DNS Sinkholing بدافزار را حذف نمی‌کند؛ اما ارتباط آن با مقصد واقعی را مختل کرده و یک سرنخ ارزشمند برای تحلیل، هم‌بستگی رویدادها، قرنطینه میزبان و Incident Response فراهم می‌سازد.
از دیگر مزایای این راهکار چه میدانید ؟
منبع : درس سنز ۵۳۰
تدریس این درس فقط بصورت سازمانی امکان پذیر است.
#آکادمی_روزبه #شرکت_هامون
قابلیت DNS Sinkholing در فایروال‌های Palo Alto برای شناسایی میزبان‌هایی به‌کار می‌رود که قصد ارتباط با دامنه‌های مخرب یا سرورهای فرماندهی و کنترل را دارند. در شبکه‌هایی که کلاینت‌ها از DNS Server داخلی استفاده می‌کنند، فایروال ممکن است فقط آدرس سرور DNS را در لاگ مشاهده کند و نتواند درخواست را به سیستم آلوده نسبت دهد.
با فعال‌شدن DNS Sinkholing، فایروال درخواست مربوط به دامنه مخرب را تشخیص می‌دهد و به‌جای آدرس واقعی آن، یک IP کنترل‌شده به نام Sinkhole IP به کلاینت بازمی‌گرداند. بدافزار سپس تلاش می‌کند به این IP متصل شود. این اتصال در Traffic Log با آدرس واقعی کلاینت ثبت می‌شود و تیم SOC می‌تواند میزبان آلوده را شناسایی کند.
راهکار DNS Sinkholing بدافزار را حذف نمی‌کند؛ اما ارتباط آن با مقصد واقعی را مختل کرده و یک سرنخ ارزشمند برای تحلیل، هم‌بستگی رویدادها، قرنطینه میزبان و Incident Response فراهم می‌سازد.
از دیگر مزایای این راهکار چه میدانید ؟
منبع : درس سنز ۵۳۰
تدریس این درس فقط بصورت سازمانی امکان پذیر است.
#آکادمی_روزبه #شرکت_هامون
Comments
Be the first to add a comment
Log in to comment