Пассивный DNS
Простыми словами
Проще говоря, «Пассивный DNS» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как применяется
В практике ИБ термин «Пассивный DNS» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Пример применения
При формулировании гипотезы threat hunter опирается на понятие «Пассивный DNS», выбирает подходящие источники данных и проверяет найденные признаки на реальной телеметрии.
Не путать с
- Репутация угрозыРепутация угрозы — оценка доверия или опасности объекта на основе наблюдений, источников и истории активности.
- Confidence scoreConfidence score — оценка уверенности аналитика или системы в достоверности сведений об угрозе.
- TAXIITAXII — протокол обмена данными о киберугрозах, включая передачу коллекций STIX.
Как это работает
- Собрать наблюдения DNSИсточники фиксируют исторические соответствия доменов, адресов и временных интервалов.
- Нормализовать записиДанные очищают, дедуплицируют и снабжают временем и источником наблюдения.
- Построить связиАналитик выявляет совместную инфраструктуру, смену адресов и повторное использование доменов.
- Проверить гипотезуВывод подтверждают дополнительной телеметрией и не считают одно совпадение доказательством.
Частые вопросы
Проще говоря, «Пассивный DNS» помогает команде связать сведения о противнике с проверяемой гипотезой, нужной телеметрией и приоритетом поиска. Смысл термина раскрывается через конкретный объект, действие и проверяемый результат.
Как «Пассивный DNS» применяют на практике?В практике ИБ термин «Пассивный DNS» используют так: его связывают с данными об угрозах, гипотезами поиска, наблюдаемыми признаками и приоритетами защиты. Решение проверяют по наблюдаемому результату, а не только по наличию документа или средства.
Чем «Пассивный DNS» отличается от близких понятий?«Пассивный DNS» описывает следующее: исторические данные о сопоставлениях доменных имён и IP-адресов, собранные наблюдением DNS-запросов. «Репутация угрозы» означает: оценка доверия или опасности объекта на основе наблюдений, источников и истории активности. Понятия могут использоваться вместе, но у них разные объект, назначение или этап работы.