DNSMon: 用DNS数据进行威胁发现（4）
<!--kg-card-begin: markdown--><p><em><strong>----谈DNS基础设施的安全</strong></em></p>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><p>本系列文章的前三篇基本内容虽然侧重点不同，但是实质上比较接近，即都是介绍如何利用DNSMon从DNS数据中发现恶意的程序和恶意网络攻击事件的蛛丝马迹进而拓展还原完整的攻击行为。这篇文章我们换个角度来看一下，仅从DNS数据出发，我们能发现什么有意思的东西。<br>
在本系列<a href="__GHOST_URL__/use-dns-data-produce-threat-intelligence/">第一篇文章</a>中提到，仅靠DNS数据，检测DGA和fastflux是比较高效的，这些都集中在恶意程序的检测层面。如果我们转向DNS系统的基础配置和针对DNS系统的风险发现，则可做的分析就比较多了。当然还是从数据出发，比较直观的可以检测的风险包括DNS配置失当，（递归或权威）DNS面临的DDoS攻击，尤其是前几年特别流行的伪随机子域名攻击等方面，DNS数据能够告诉我们几乎攻击发生时的一切信息。</p>
<p>这篇文章我们介绍DNS配置失当的问题，选取的目标域名为国内的政府网站(.gov.cn结尾的域名)。选择政府网站为目标的原因一个是能更直观的理解DNS配置失当的问题，再一个是政府网站的影响度会比较高。</p>
<!--kg-card-end: markdown--><!--kg-card-begin: markdown--><h2 id="">数据和规则</h2>
<p>出于说明问的角度，同时不再纠结历史数据，我们从DNSMon中筛选了最后活跃时间在今年（2021年）一月一日之后的PassiveDNS记录，大约12万条。从DNS安全的角度出发，主要发现了如下的问题：</p>
<h2 id="">异常点</h2>
<h3 id="">泛解析</h3>
<h3 id="ip">解析IP地址在境外</h3>
<h4 id="ip">解析IP地址为美军</h4>
<p><img src="__GHOST_URL__/content/images/2021/03/------IP.png" alt="------IP" loading="lazy"></p>
<h4 id="ipip">解析IP地址为知名IP</h4>
<h3 id="">解析地址为私有地址</h3>
<h3 id="iploopback">解析IP地址为loopback</h3>
<!--kg-card-end: markdown-->
----谈DNS基础设施的安全


本系列文章的前三篇基本内容虽然侧重点不同，但是实质上比较接近，即都是介绍如何利用DNSMon从DNS数据中发现恶意的程序和恶意网络攻击事件的蛛丝马迹进而拓展还原完整的攻击行为。这篇文章我们换个角度来看一下，仅从DNS数据出发，我们能发现什么有意思的东西。

在本系列第一篇文章中提到，仅靠DNS数据，检测DGA和fastflux是比较高效的，这些都集中在恶意程序的检测层面。如果我们转向DNS系统的基础配置和针对DNS系统的风险发现，则可做的分析就比较多了。当然还是从数据出发，比较直观的可以检测的风险包括DNS配置失当，（递归或权威）DNS面临的DDoS攻击，尤其是前几年特别流行的伪随机子域名攻击等方面，DNS数据能够告诉我们几乎攻击发生时的一切信息。


这篇文章我们介绍DNS配置失当的问题，选取的目标域名为国内的政府网站(.gov.cn结尾的域名)。选择政府网站为目标的原因一个是能更直观的理解DNS配置失当的问题，再一个是政府网站的影响度会比较高。



数据和规则


出于说明问的角度，同时不再纠结历史数据，我们从DNSMon中筛选了最后活跃时间在今年（2021年）一月一日之后的PassiveDNS记录，大约12万条。从DNS安全的角度出发，主要发现了如下的问题：



异常点



泛解析



解析IP地址在境外


解析IP地址为美军





解析IP地址为知名IP



解析地址为私有地址



解析IP地址为loopback

{"version":"0.3.1","atoms":[],"cards":[["markdown",{"markdown":"***----谈DNS基础设施的安全***"}],["markdown",{"markdown":"本系列文章的前三篇基本内容虽然侧重点不同，但是实质上比较接近，即都是介绍如何利用DNSMon从DNS数据中发现恶意的程序和恶意网络攻击事件的蛛丝马迹进而拓展还原完整的攻击行为。这篇文章我们换个角度来看一下，仅从DNS数据出发，我们能发现什么有意思的东西。\n在本系列[第一篇文章](__GHOST_URL__/use-dns-data-produce-threat-intelligence/)中提到，仅靠DNS数据，检测DGA和fastflux是比较高效的，这些都集中在恶意程序的检测层面。如果我们转向DNS系统的基础配置和针对DNS系统的风险发现，则可做的分析就比较多了。当然还是从数据出发，比较直观的可以检测的风险包括DNS配置失当，（递归或权威）DNS面临的DDoS攻击，尤其是前几年特别流行的伪随机子域名攻击等方面，DNS数据能够告诉我们几乎攻击发生时的一切信息。\n\n这篇文章我们介绍DNS配置失当的问题，选取的目标域名为国内的政府网站(.gov.cn结尾的域名)。选择政府网站为目标的原因一个是能更直观的理解DNS配置失当的问题，再一个是政府网站的影响度会比较高。"}],["markdown",{"markdown":"## 数据和规则\n出于说明问的角度，同时不再纠结历史数据，我们从DNSMon中筛选了最后活跃时间在今年（2021年）一月一日之后的PassiveDNS记录，大约12万条。从DNS安全的角度出发，主要发现了如下的问题：\n\n## 异常点\n### 泛解析\n### 解析IP地址在境外\n#### 解析IP地址为美军\n![------IP](__GHOST_URL__/content/images/2021/03/------IP.png)\n#### 解析IP地址为知名IP\n### 解析地址为私有地址\n### 解析IP地址为loopback\n"}]],"markups":[],"sections":[[10,0],[10,1],[10,2],[1,"p",[]]],"ghostVersion":"3.0"}