DEFCON 21. DNS सम्मेलन आपके स्वास्थ्य के लिए खतरनाक हो सकता है। भाग २

DEFCON 21. DNS सम्मेलन आपके स्वास्थ्य के लिए खतरनाक हो सकता है। भाग 1

यह मान लिया गया था कि संगठन की डोमेन सीमाएँ foo.com थीं और आप कभी भी www.com का उपयोग नहीं करना चाहेंगे । Microsoft ने इस DNS व्यवहार को बदल दिया है, क्योंकि जाहिर है, सभी संगठनों के पास डोमेन नाम के लिए दो स्तर नहीं हैं।



यदि आपका शीर्ष-स्तरीय डोमेन यूनाइटेड किंगडम है, तो एक विशेष ad.foo.co.uk डोमेन से कनेक्ट होने पर, डिफ़ॉल्ट DNS व्यवहार इस तरह होगा:



यही है, www.co.uk पर आपके डोमेन नाम की सीमाओं के बाहर अनुरोध भेजा जाएगा। इसलिए, एक यादृच्छिक हॉटफ़िक्स बनाया गया था, एक सुरक्षा पैच जिसने डोमेन की संगठनात्मक सीमाओं को 3 तक सीमित कर दिया था, उस स्थिति में DNS विचलन दूसरा अनुरोध www.foo.co.uk के बाद बंद हो गया।



लेकिन एक डोमेन नाम के हमारे उदाहरण में, अनावश्यक विज्ञापन को रोकने के लिए डिज़ाइन किए गए इस सुरक्षा फ़िक्स ने उन हज़ारों क्लाइंट कंपनियों को तोड़ दिया है जिनका डोमेन नाम डिज़ाइन मूल, मूल DNS व्यवहार पर निर्भर करता था। ये कंपनियां क्या कर रही हैं? क्या वे इस यादृच्छिक हॉटफिक्स को ध्यान में रखते हुए नए व्यवहार से मेल खाने के लिए बुनियादी ढांचे के डिजाइन को बदलते हैं? नहीं, वे उस व्यवहार को वापस बदल देते हैं जो पहले था।

निम्नलिखित स्लाइड निर्णय ट्री को दिखाती है जो Microsoft DNS क्वेरी बनाने से पहले उपयोग करता है।

मुझे पता है कि यह सरल (हँसी) लगता है, और निश्चित रूप से आप आश्चर्यचकित हैं कि कोई इसे गलत समझ सकता है।



उसके बाद, इस DNS व्यवहार में दर्जनों सुधार और अपडेट हुए, जो संस्करण से संस्करण में बदल गए। लेकिन उन्होंने इसे एक बार प्रलेखित किया, और यदि इस पेड़ की एक शाखा बदल गई, तो इसने डीएनएस का उपयोग करने के आपके तरीके को पूरी तरह से तोड़ दिया, और आप मूल व्यवहार को पुनर्स्थापित करने के लिए सेटिंग्स को बदल नहीं सकते थे। आपको एक समस्या थी क्योंकि प्रत्येक नए अपडेट के साथ आपकी सेटिंग्स अलग तरह से व्यवहार करती हैं। हो सकता है कि कुछ टूट जाएगा, या शायद नहीं, यानी ऐसा कुछ, जिसकी आपको उम्मीद नहीं है।

इस प्रकार, कंपनियां रजिस्टर या समूह नीति संपादन के माध्यम से परिवर्तन करती हैं, मूल DNS व्यवहार को बहाल करने की कोशिश कर रही हैं, लेकिन उनमें से कुछ इसे ठीक से नहीं कर सकते हैं जहां व्यवहार को दूसरे फिक्स पैक द्वारा बदल दिया गया था। वे इस खोए हुए व्यवहार को बहाल करने के लिए परिवर्तनों को वापस लेने की कोशिश कर रहे हैं क्योंकि वे चाहते हैं कि ग्राहक फिर से foo.com तक पहुंच सकें।



लेकिन ज्यादातर मामलों में, जब वे दो-स्तरीय विचलन को बहाल नहीं कर सकते हैं, तो वे मूल दो-स्तरीय प्रतिबंध से छुटकारा पा लेते हैं। धन्यवाद, माइक्रोसॉफ्ट, विंडोज 7 के लिए - अब आप तीन डिफ़ॉल्ट डोमेन स्तरों को 2 से बदल सकते हैं, लेकिन सिस्टम आपको उन्हें एक में कम करने की अनुमति नहीं देता है।



आप सोच सकते हैं कि अब सब कुछ तय हो गया है, लेकिन XP कॉन्फ़िगरेशन का उपयोग करके BYOD उपकरणों और मोबाइल उपकरणों के बारे में क्या? मैंने यह जांचने का निर्णय लिया कि कितने क्षतिग्रस्त कॉन्फ़िगरेशन अभी भी वहां मौजूद हो सकते हैं। मैंने कई डोमेन पंजीकृत किए हैं जो आमतौर पर केवल कॉर्पोरेट वातावरण में उपयोग किए जाते हैं।

पहला डोमेन Microsoft Office Communicator का संक्षिप्त नाम है, जो एक आंतरिक SIP सर्वर का अनुरोध करता है। अगले दो नाम जो मुझे Google पर मिले, वे मुख्य रजिस्ट्री कुंजियों के संक्षिप्त नाम हैं, जिनमें वेब प्रॉक्सी शामिल है, इसलिए मैंने इन नामों को अपने सर्वरों को सौंपा और मुझसे संपर्क करने के लिए ग्राहकों की प्रतीक्षा की। और उन्होंने ऐसा किया।



जब मैंने sipinternal.com पंजीकृत किया, तो मुझे कार्यालय कम्युनिकेटर के ग्राहकों से अनुरोध मिलना शुरू हुआ - स्लाइड में डीएचएल के संसाधनों में से एक को पंजीकृत करने के अनुरोध का एक उदाहरण दिखाया गया है, और जैसा कि यह निकला, दुनिया में हजारों यादृच्छिक डिवाइस हैं जिन्होंने मेरे साथ पंजीकरण करने की कोशिश की है।



मैंने उनके साथ थोड़ा खेला, और यह कई हमलों की तरह लग रहा था कि एक दुर्भावनापूर्ण एसआईपी सर्वर क्लाइंट कम्युनिकेटर्स के खिलाफ काम करता है। यह प्रॉक्सी- फीनिक्स डॉट कॉम के बारे में मेरी अगली कहानी होगी



IBM और HP के कई अंतिम उपयोगकर्ता थे जिन्होंने मुझे अपना प्रॉक्सी सर्वर बनने के लिए कहना शुरू किया, और अब उनके पास फीनिक्स में एक क्लाइंट है जो अपने उपयोगकर्ताओं के लिए एक छोटे नाम के रूप में प्रॉक्सी-फ़ीनिक्स को "बंद" करता है। मुझे लगा कि यह दिलचस्प है। लेकिन set-proxy.com और भी दिलचस्प निकला।

मुझे प्राप्त हुए पहले अनुरोधों में हजारों विंडोज क्लाइंट द्वारा प्रॉक्सी इंस्टॉलेशन पैकेज फ़ाइल डाउनलोड करने का प्रयास किया गया था। मुझे पता चला कि स्रोत आईपी पता आर्थर एंडरसन के साथ पंजीकृत था, एक असफल लेखा फर्म जो एनरॉन के साथ दिवालिया हो गया था।



एक्सेंचर अपने परामर्श समूह से अलग हो गया है, जो अगले भाग में अधिक समझ में आता है। यह दर्शाता है कि मोबाइल उपकरणों के उपयोग पर उनकी नीति दुर्घटनाग्रस्त (हँसी) है।



वे एक कॉन्फ़िगरेशन को बढ़ावा देते हैं जो संक्षिप्त डोमेन नाम से प्रॉक्सी पैकेज के स्थान को संदर्भित करता है। और हजारों iPhone और iPad ने इस संक्षिप्त नाम पर प्रतिक्रिया दी और मुझसे इन फ़ाइल पैकेजों को प्रदान करने के लिए कहने लगे। इस तथ्य से भी कि यह विन्यास ग्राहकों को वह प्राप्त करने की अनुमति नहीं देता है जो उन्होंने अनुरोध किया था, उन्होंने उन्हें सोचने के लिए नहीं बनाया, और वे सीधे इंटरनेट पर चले गए, प्रॉक्सी को दरकिनार करते हुए, मुझसे इन फ़ाइलों का अनुरोध करने के लिए।

अधिक बारीकी से देखने पर, मैंने देखा कि मुझे न केवल एक्सेंचर से, बल्कि इस कंपनी के नेटवर्क से जुड़े अपने ग्राहकों से भी अनुरोध प्राप्त होते हैं। इस प्रकार, एक गलत डीएनएस के माध्यम से, एक्सेंचर ने न केवल अपने स्थानीय नेटवर्क, बल्कि इससे जुड़े सभी ग्राहकों के नेटवर्क से समझौता किया, जिससे वहां स्थित सभी उपकरणों को हैक करने की अनुमति मिल गई। मुझे आईबीएम, एचपी, डॉव, नोकिया, जीई, मर्क, मेडको के कर्मचारियों से सीधे संपर्क किया गया था। उन्होंने सभी से मुझे अपना प्रॉक्सी बनाने के लिए कहा, और मैं आपको बताऊंगा कि मुझे एक्सेंचर से सबसे अच्छी उम्मीद थी।



इससे ऐसे सबक लिए जा सकते हैं। अपने DNS ट्रैफ़िक को देखें, क्योंकि अगर विंडोज अब उसी तरह से व्यवहार करता है, तो इसका मतलब यह बिल्कुल नहीं है कि यह महीने के दूसरे मंगलवार (हँसी) के बाद भी ऐसा ही व्यवहार करेगा।

इस तथ्य के आधार पर अपेक्षाओं पर भरोसा न करें कि चीजें वैसी ही होंगी जैसी उन्हें चाहिए, ट्रैफ़िक देखें और यह समझना सीखें कि आपके नेटवर्क पर डीएनएस ट्रैफ़िक कितना सामान्य दिखना चाहिए। आपको यह स्पष्ट रूप से समझने की आवश्यकता है कि सेटिंग में कोई भी परिवर्तन करने से पहले सामान्य ट्रैफ़िक कैसा दिखता है ताकि बाद में उनके साथ तुलना करने के लिए आपके पास कुछ हो।



कैप्शन: “आप इस डोमेन के स्वामी नहीं हैं। मैं वह हूं।

मैंने कुछ काफी अनोखे तरीकों का प्रदर्शन किया है जिसमें DNS में "फ्लिप" बिट खतरनाक हो सकता है। हालांकि, बिट स्क्वाटिंग एक बहुत बड़ा खतरा नहीं है, इसलिए यह मूल कॉन्फ़िगरेशन के साथ Microsoft "पैच" के संयोजन के कारण अप्रत्याशित DNS व्यवहार के साथ चालें करना अधिक दिलचस्प है, जो इसे पूरी तरह से अनजाने में बनाता है।

हालाँकि, डीएनएस के संबंध में सबसे खराब चीजों में से एक कंपनी लापरवाही से 100% आत्म-नुकसान है।

मैंने ऐसी कंपनियों को देखा, जो कई वर्षों में, कभी-कभी, कभी-कभी दुर्घटना के कारण, और कभी-कभी जानबूझकर, सभी स्थितियों का निर्माण करती थीं ताकि एक हमलावर अपने बुनियादी ढांचे के हर हिस्से को अपने कब्जे में ले सके।

समस्या यह है कि वास्तव में, कंपनियां उन डोमेन का उपयोग करती हैं, जिनके वे मालिक नहीं हैं। प्रत्यय खोज स्ट्रिंग्स में रखे गए ये डोमेन, अपने सभी ग्राहकों को तकनीकी सहायता की आवश्यकता होने पर बाहरी इंटरनेट पर अनिवार्य रूप से "पुश" करते हैं।

मैंने यह अध्ययन करने का निर्णय लिया कि कितनी कंपनियां ऐसा करने के लिए मजबूर हैं, और यह मेरे लिए मुश्किल नहीं था। मैंने Google से मदद के लिए रजिस्ट्री कुंजी नाम खोजने के लिए शुरू किया था जो विंडोज आईपी कॉन्फ़िगरेशन और DNS प्रत्यय खोज सूची के आउटपुट के लिए खोज सूची को संग्रहीत करता है।



तकनीकी सहायता फ़ोरम उपयोगकर्ताओं को समस्या निवारण के साथ सहायता के लिए वर्कस्टेशन कॉन्फ़िगरेशन जानकारी पोस्ट करने के लिए प्रोत्साहित करते हैं।



मैंने Google का अध्ययन किया और डोमेन की एक अद्वितीय सूची बनाई, और फिर उन्हें पंजीकृत करना शुरू किया। आईपी ​​कॉन्फ़िगरेशन को देखते हुए, मैं rsquanta DNS प्रत्यय के पार आया और इसे अपने डोमेन पंजीकरण सूची के लिए आधार बनाया।



अगली स्लाइड में दिखाए गए विकृत नामों के साथ डोमेन को पंजीकृत करने के बाद, मुझे मोबाइल उपकरणों से हजारों अनुरोध प्राप्त होने लगे, जो यह भी नहीं जानते थे कि वे किस कंपनी से संपर्क कर रहे हैं। लेकिन मुझे पता चला। यह पता चला कि डोमेन नाम प्रत्यय rsquanta.com एक बड़ी ताइवानी कंप्यूटर हार्डवेयर कंपनी, क्वांटा कंप्यूटर का है, जिसमें 60 हजार लोग कार्यरत हैं।



उन्होंने ओएलपीसी बच्चों के सौ-डॉलर के लैपटॉप को डिजाइन और निर्मित किया और फेसबुक के साथ मिलकर अपने उपकरणों के आधार पर अपने नए सर्वरों को डिजाइन और इकट्ठा किया। मुझे प्रॉक्सी, एसएमएस सर्वर, मेल सर्वर, फाइल ट्रांसफर सर्वर के ऑटो-डिटेक्शन के लिए अनुरोध प्राप्त हुआ। दर्जनों तरीके थे जो मैं शांत रूप से थाईलैंड में इन उपकरणों को जब्त कर सकता था और क्रेडेंशियल या ट्रांसफर की गई फ़ाइलों को चोरी करने के लिए कारनामे पेश करता था। जब उन्होंने मुझे सही संसाधनों को खोजने में मदद करने के लिए कहा, तो एक आदमी के बीच का हमला तुच्छ दिखाई देगा।

लेकिन जब मैंने अपने डमी सर्वरों को मिलने वाले अनुरोधों के स्रोतों का निर्धारण किया, तो यह वास्तव में मुझे चकित कर गया। मैंने पाया कि नियमित ट्रैफ़िक क्लाइंट नेटवर्क से आया था, जिसने सिस्को, एप्पल, 3 मी और डेल में क्वांटा कंप्यूटर उपकरणों के अस्तित्व का संकेत दिया।



इसलिए, उनके पास फील्ड स्टाफ होना चाहिए था जिसका कर्तव्य क्वांटा उपकरण को लागू करने में मदद करना था। और ये इस कंपनी के कुछ ग्राहक हैं जिनके पास क्वांटा कंप्यूटर कर्मचारी हैं जो क्षेत्र में काम कर रहे हैं - मुझे उनके बारे में पता चला क्योंकि उन्होंने सभी से मुझे कंपनी की संपत्ति तक पहुँच प्रदान करने के लिए कहा था।



उनका हार्डवेयर अच्छी तरह से प्रसिद्ध कंपनियों के उपकरण में और गोपनीय बौद्धिक संपदा से संबंधित था। इस प्रकार, बहुत सी निष्क्रिय जानकारी थी जो मैं उनके ट्रैफ़िक से निकाल सकता था। मेरे पास उनके नेटवर्क पर प्रत्येक डिवाइस के नामों की एक सूची थी, मैंने कंपनी के ट्रैफ़िक को जनता से छिपा हुआ देखा, जिसने एक नए अनुबंध की उपस्थिति का संकेत दिया। यदि ट्रैफ़िक अचानक बंद हो जाता है, तो मैं मान सकता हूं कि वे अनुबंध खो चुके थे, और मैं ट्रैक कर सकता था कि वे आगे कहाँ जाएंगे, ये कर्मचारी कहाँ जाते हैं और कहाँ जाते हैं।



उदाहरण के लिए, मैं देखता हूं कि कंपनी के कार्यालय के पास एक वाई-फाई ड्राई क्लीनिंग सेवा खोली गई है, क्योंकि सैकड़ों डिवाइस मुझे समय-समय पर वहां से अनुरोध भेजते हैं। मैं यह भी देखता हूं कि इस शहर में ब्लैक हैट और डेफकॉन के लिए लोग हैं, बाद में हम इसके बारे में (हँसी) बात करेंगे।

इसलिए इस तरह की गलती काफी गंभीर है। इससे बचने के लिए, कृपया अपने DNS कॉन्फ़िगरेशन की जाँच करें। Pastebin और Bleeping Computer जैसे संसाधनों का उपयोग करके अपने आंतरिक कॉन्फ़िगरेशन का विवरण जानने के लिए इंटरनेट का उपयोग करें।

अपने DNS लॉग देखें और सुनिश्चित करें कि आपके ग्राहक और आपके साथी और निर्माता के ग्राहक अनुरोधों को ठीक वैसे ही पूरा करते हैं जैसे आप उनसे उम्मीद करते हैं। यदि आप लॉग ट्रैक करते हैं, तो आसानी से प्रत्येक डिवाइस, प्रत्येक कॉर्पोरेट संपत्ति के लिए अक्सर अनुरोधित डोमेन की पहचान करें।

कुछ साल पहले, मैंने समयसीमा समाप्त डोमेन खरीदना शुरू कर दिया था, जिसे पहले C & C सर्वर के रूप में उपयोग किया जाता था। (हँसी)। यह बहुत मज़ेदार था, इसलिए पहले तो मैं यह समझना चाहता था कि कितना अधिक संक्रमण बना हुआ है, फिर पता करें कि किस तरह के उपकरण अभी भी संक्रमित थे और वे कहाँ थे।

"ब्लैक लिस्ट" से डोमेन की खोज करना मुश्किल नहीं था, इसलिए मेरे पास 99 सेंट की कीमत पर हजारों डोमेन का विकल्प था, और मैंने उनमें से कई खरीदे। निम्नलिखित स्लाइड मैं पहले खरीदा डोमेन - microsoft-windows-security.com दिखाती है। यह Win32 वायरस से संक्रमित था: EyeStye, एक बॉट ट्रोजन, एक कीबोर्ड इंटरसेप्टर जो गोपनीय जानकारी चोरी करने के लिए उपयोग किया जाता था। उन्होंने इनपुट को इंटरसेप्ट किया, और फिर इसे अनएन्क्रिप्टेड संदेशों के रूप में इस डोमेन पर भेज दिया। मैंने उसके साथ कुछ भी नहीं किया, मैंने उसे हर बार मुझसे संपर्क करने के लिए 404 त्रुटि भेजी, लेकिन उसने फिर भी मुझे चोरी किए गए डेटा भेजने की कोशिश की।



यह बॉट अपने विशिष्ट पहचानकर्ता, उस प्रक्रिया का नाम बताता है जो नियंत्रित करता है, इंटरसेप्टेड फ़ंक्शन, इसमें निहित डेटा और उपयोगकर्ता के उपयोगकर्ता नाम और पासवर्ड के रूप में पेलोड।



इनमें से कई बॉट नेत्रहीन अपने डोमेन को पेलोड वितरित करते हैं। मैंने ऐसे दर्जनों डोमेन पंजीकृत किए हैं, जो हजारों संक्रमित उपकरणों को कवर करते हैं। बॉटनेट नेटवर्क के इन प्रतिनिधियों को केवल उनके पिछले मालिकों द्वारा छोड़ दिया गया था, जो उन्हें बंद करने का प्रयास नहीं करना चाहते थे, लेकिन डोमेन समाप्त होने तक उन्हें केवल नेटवर्क पर छोड़ दिया। इसलिए मैंने अपने पहले 6 डॉलर इन वायरस-संक्रमित डोमेन (हॉल में तालियां) पर खर्च किए।



मेरे पास 23,000 उपकरण थे जो मेरे सर्वर को रिपोर्ट भेज रहे थे, और ये सभी डोमेन प्रकाशित ब्लैकलिस्ट से लिए गए थे। क्यों कई कंपनियों ने अपने ग्राहकों को उन डोमेन से संपर्क करने की अनुमति दी, जिन्हें लंबे समय तक दुर्भावनापूर्ण माना गया था?

हम सभी सरलतम तंत्रों में से एक को नियंत्रित करके अपने काम में सुधार कर सकते हैं, इसलिए अपने डोमेन के लॉग में खुदाई करते हुए, मैं एक भर में आया जो वास्तव में असामान्य लग रहा था।



मेरे नेटवर्क पर 82 हजार उपकरणों में से एक क्लाइंट ने नियमित रूप से इसका अनुरोध किया था, और जब मैंने इसे छांटना शुरू किया, तो मैंने पाया कि यह डोमेन छह महीने की अवधि समाप्त हो गया था और किसी भी "ब्लैक लिस्ट" में नहीं था और Google पर इसका एक भी उल्लेख नहीं था। यह बहुत संदिग्ध लग रहा था, इसलिए मैंने इसे खरीदा और ग्राहकों के साथ तुरंत बाढ़ आ गई। यह एक साधारण हड़पने वाला था जिसने अपने पेलोड को बिना लाइसेंस के रूप में भेजा और दुनिया भर में 10,000 संक्रमित उपकरणों को नियंत्रित किया। उनमें से कुछ उच्चतम सुरक्षा व्यवस्था वाले क्षेत्रों में स्थित थे, और मैंने पाया कि संक्रमित उपकरणों में से एक फीनिक्स शहर की उपचार सुविधाओं से संबंधित है।

मैं इस कंपनी से किसी के पास गया और कहा कि मैं वायरस की पहचान कर सकता हूं अगर वे मुझे संक्रमित फ़ाइल का एक नमूना भेजते हैं। जैसे ही उन्होंने मुझे एक नमूना भेजा, मैंने इसे विरुस्तोटल पर अपलोड कर दिया, और पाया कि 42 में से कोई भी एंटीवायरस इस वायरस की पहचान नहीं कर सकता है। यह मैलवेयर 2 साल पुराना था, और मुझे यह अजीब लग रहा था कि इसे किसी भी एंटीवायरस में खतरे के रूप में पहचाना नहीं गया था। लेकिन जो अजनबी था, उसे छोड़ क्यों दिया गया? एंटीवायरस के लिए पूरी तरह से अदृश्य, यह वास्तव में एक बहुत मूल्यवान वायरल संक्रमण था। और यहाँ एक विडंबना उदाहरण है - यह सिमेंटेक में एक क्यूए इंजीनियर था, मुझे उम्मीद है कि वह यहां नहीं है।



यहां मैं देखता हूं कि यह ऑनलाइन टिकटिंग सिस्टम में कैसे काम करता है, और इस मामले में यह उत्पाद के सिम कार्ड की सुरक्षा समस्या के कारण टिकट को बंद कर देता है। मुझे लगता है कि मैलवेयर का वह हिस्सा दुखद है, जो पहले से ही 2 साल पुराना है, फिर भी कंपनी के एंटीवायरस प्रोग्राम की बहिष्करण सूची में एक इंजीनियर द्वारा शामिल किया गया है जो खतरनाक दोषों को खत्म करने और कंपनी के उत्पादों की सुरक्षा सुनिश्चित करने के लिए काम करता है।
उच्च श्रेणी के अधिकारियों और सरकारी अधिकारियों के स्वामित्व वाले कुछ संक्रमित उपकरण हैं, जैसे कि कोर्ट क्लर्क, अमेरिकी कांग्रेस का निचला सदन, मनी ट्रांसफर कार्यालय, समाचार पत्र और यहां तक ​​कि लैंगले में संघीय सेवक संघ के खजांची! ये निश्चित रूप से सर्वश्रेष्ठ 99 सेंट हैं जो मैंने कभी खर्च किए हैं।

यह सोचना डरावना है कि कमांड और कंट्रोल सर्वर तक पहुंचने की कोशिश करने वाले लाखों संक्रमित उपकरण हैं, जिनकी पहुंच अब अनुमति नहीं है। यदि आप लगभग किसी भी बड़े प्रदाता के खुले या स्थानीय डीएनएस का उपयोग करते हैं, तो संक्रमित उपकरणों को वह सब कुछ हासिल करने का अवसर न दें जो वे हल करने की कोशिश कर रहे हैं, इससे कोई फर्क नहीं पड़ता कि ऐसा डोमेन मौजूद है या नहीं। क्योंकि वे एक उत्तर को नकली करते हैं जो मौजूद नहीं है और आपको लैंडिंग पृष्ठ का डिफ़ॉल्ट आईपी पता देता है। तो सर्वर लॉग जो इस पेज को होस्ट करता है, उसमें चोरी के डेटा का असंख्य होता है। क्या आपको लगता है कि मेजबान मालिक इसे रोकने के लिए कुछ भी कर रहे हैं?

वे केवल विज्ञापनों के साथ अनुचित ट्रैफ़िक से कमाई करने की कोशिश कर रहे हैं जो अनजाने में आपके व्यक्तिगत डेटा को चुरा लेते हैं। आप उम्मीद करते हैं कि यदि कोई दुर्भावनापूर्ण प्रोग्राम आपको डिस्कनेक्ट किए गए C & C सर्वर से संपर्क करने की अनुमति देने की कोशिश करता है, तो आपको कहीं भी नहीं मिलेगा, आपको बस वहां जाने की अनुमति नहीं होगी।



वास्तव में, ऐसा होता है जैसा कि निम्नलिखित स्लाइड्स में दिखाया गया है - खुले डीएनएस इतने दयालु हैं कि वे आपको किसी भी चीज का जवाब देंगे, इससे कोई फर्क नहीं पड़ता कि यह डोमेन मौजूद है या नहीं, और वे ख़ुशी से आपको एक दुर्भावनापूर्ण आईपी पते के साथ प्रदान करेंगे जो चोरी करेगा आपका डेटा।





मैंने कई डोमेन पंजीकृत किए जो वर्तमान में किसी भी ब्लैकलिस्ट पर नहीं हैं। मुझे उन सभी मैलवेयर नमूनों के बारे में पता चला जो DNS लॉग्स का विश्लेषण करके प्रमुख एंटीवायरस विक्रेताओं द्वारा किसी का ध्यान नहीं गया। ऐसे वायरस का पता लगाने के लिए, मैं इस तरह से कार्य करता हूं:

• मैं डीएनएस लॉग इकट्ठा करता हूं जो लोग मुझे एक सामान्य डेटाबेस में प्रदान करते हैं;
• नियमित रूप से अनुरोध किए गए नामों की निगरानी करें जो पहली बार मेरे वातावरण में दिखाई दिए;
• मुझे केवल एक क्लाइंट द्वारा अनुरोधित नाम मिलते हैं;
• मैं पंजीकरण तिथियों को देखता हूं और नए डोमेन के पंजीकरण के मालिकों और देश की स्थापना करता हूं;
• मैं उन डोमेन की तलाश कर रहा हूं जो आईपी एड्रेस 127.0.0.1 के उपयोग की अनुमति देते हैं, शायद वे "nerds" द्वारा बनाए गए हैं।

नेट पर, उन चीजों को स्पॉट करना बहुत आसान है जो उनकी असामान्यता के लिए बाहर खड़े हैं। आप हर दिन एक सूची तैयार कर सकते हैं, यह मैन्युअल रूप से संसाधित होने के लिए काफी छोटा है। अगली स्लाइड पर, मैं उन कुछ संसाधनों के लिंक प्रदान करूंगा, जिन्हें आपको डीएनएस अन्वेषण शुरू करने की योजना बनाने और देखने के लिए उपयोग करना चाहिए।

ब्रो साइट DNS प्रश्नों के पंजीकरण का समर्थन करती है और क्वेरी लॉग को स्टोर करती है। DNS Anomaly Detection – , , , , - .

Passive DNS – Microsoft, «» , «» .pcap .



Response Policy Zones , , . DNS Sinkholes, , .

अंतिम स्लाइड प्रलेखन के लिंक प्रदान करती है जो आपको DNS ट्रैफ़िक "खुदाई" के लिए प्रेरित करेगी, जहाँ आप अपनी अपेक्षा से बहुत अधिक पा सकते हैं।



मुझ पर अपना समय बिताने के लिए धन्यवाद! आप इस पते पर किसी भी समय मुझसे संपर्क कर सकते हैं: bobx@rot26.net


हमारे साथ बने रहने के लिए धन्यवाद। क्या आप हमारे लेख पसंद करते हैं? अधिक दिलचस्प सामग्री देखना चाहते हैं? एक आदेश रखकर या अपने दोस्तों को इसकी अनुशंसा करके हमें समर्थन दें, एंट्री-लेवल सर्वरों के अनूठे एनालॉग पर हैबर उपयोगकर्ताओं के लिए 30% छूट जो हमने आपके लिए ईजाद की है: VPS (KVM) E5-2650 v4 (6 कोर) 10GB DDR4 240GB SSD 1Gbps से पूरा सच $ 20 या सर्वर को कैसे विभाजित करें? (विकल्प RAID1 और RAID10 के साथ उपलब्ध हैं, 24 कोर तक और 40GB DDR4 तक)।

VPS (KVM) E5-2650 v4 (6 करोड़) 10GB DDR4 240GB SSD 1Gbps दिसंबर तक मुफ्त में जब छह महीने की अवधि के लिए भुगतान करते हैं, तो आप यहां ऑर्डर कर सकते हैं ।

डेल R730xd 2 बार सस्ता? केवल हमारे पास 2 x Intel Dodeca-Core Xeon E5-2650v4 128GB DDR4 6x480GB SSD 1Gbps नीदरलैंड और यूएसए में $ 249 से 100 टीवी है ! इन्फ्रास्ट्रक्चर Bldg का निर्माण कैसे करें के बारे में पढ़ें । एक पैसा के लिए 9,000 यूरो की लागत डेल R730xd E5-2650 v4 सर्वर का उपयोग कर वर्ग?