« 异常进程 ID 或锁文件创建 接受默认 Telnet 端口连接 »
Elastic 文档 ›Elastic 安全解决方案 [8.17] ›检测和警报 ›预构建规则参考

异常大的 DNS 响应

编辑

异常大的 DNS 响应

编辑

特制的 DNS 请求可以操纵某些 Windows DNS 服务器中已知的溢出漏洞，从而导致远程代码执行 (RCE) 或通过使服务崩溃而造成拒绝服务 (DoS)。

规则类型: 查询

规则索引:

  • packetbeat-*
  • filebeat-*
  • logs-network_traffic.*

严重性: 中

风险评分: 47

运行频率: 5 分钟

搜索索引起始时间: 无（日期数学格式，另请参阅 额外回溯时间）

每次执行的最大警报数: 100

参考资料:

标签:

  • 使用案例：威胁检测
  • 战术：横向移动
  • 资源：调查指南
  • 使用案例：漏洞

版本: 105

规则作者:

  • Elastic

规则许可证：Elastic License v2

调查指南

编辑

分类和分析

调查异常大的 DNS 响应

此规则的检测警报表明可能存在来自 Windows DNS 服务器的大字节 DNS 响应相关的异常活动。此检测规则是基于 2020 年 7 月期间利用漏洞 (CVE-2020-1350)（也称为 SigRed）所表示的活动而创建的。

可能的调查步骤

  • 此特定规则来源于网络日志活动，例如 DNS 或网络级别数据。验证传入流量的来源，并确定此活动是否之前在环境中观察到，这一点非常重要。
  • 可以通过查看任何相关的入侵检测签名 (IDS) 警报来进一步调查和验证活动。
  • 进一步的检查可以包括使用协议分析器（例如 Zeek、Packetbeat 或 Suricata）查看 dns.question_type 网络字段集，以获取 SIG 或 RRSIG 数据。
  • 验证目标 DNS 服务器的补丁级别和操作系统，以验证观察到的活动并非大规模的互联网漏洞扫描。
  • 验证网络活动的来源不是来自授权的漏洞扫描或妥协评估。

误报分析

  • 根据此规则（查找 60k 字节的阈值），可能会在 65k 字节以下生成与合法行为相关的活动。在 SANS Internet Storm Center 收到的数据包捕获文件中，观察到的字节响应均大于 65k 字节。
  • 此活动可以由合规性/漏洞扫描或妥协评估触发；确定活动来源并潜在地将来源主机列入允许列表非常重要。

相关规则

  • dns.exe 的异常子进程 - 8c37dc0e-e3ac-4c97-8aa0-cf6a9122de45
  • dns.exe 的异常文件修改 - c7ce36c0-32ff-4f9a-bfc2-dcb242bf99f9

响应和补救

  • 根据分类结果启动事件响应流程。
  • 确保您已部署最新的 Microsoft 安全更新（每月汇总或仅安全），并重新启动已修补的计算机。如果无法立即修补，Microsoft 发布了一种基于注册表的解决方法，该方法不需要重新启动。在应用补丁之前，可以将此方法用作临时解决方案。
  • 维护关键系统的备份以帮助快速恢复。
  • 执行系统的例行漏洞扫描，监控 CISA 公告，并修补已识别的漏洞。
  • 如果您观察到真正的阳性结果，请实施补救计划并监控基于主机的工件，以获取其他利用后行为。

规则查询

编辑
(event.dataset: network_traffic.dns or (event.category: (network or network_traffic) and destination.port: 53)) and
  (event.dataset:zeek.dns or type:dns or event.type:connection) and network.bytes > 60000

框架：MITRE ATT&CKTM

« 异常进程 ID 或锁文件创建 接受默认 Telnet 端口连接 »