Amenazas salientes y DNS
Cómo ve InfraFence lo que sale del servidor - conexiones a direcciones listadas, consultas DNS ligadas al programa que las hizo, túneles DNS, búsquedas DGA y resolvers sospechosos.
Última actualización:
La mayoría de las herramientas vigilan lo que entra. Un servidor comprometido se delata por lo que sale: una conexión al controlador de una botnet, datos que se filtran por DNS, malware que busca su siguiente dominio.
Listas de inteligencia de amenazas
Cada servidor descarga listas públicas una vez al día, directamente de quienes las publican:
- las listas DROP de Spamhaus (IPv4 e IPv6), redes secuestradas o gestionadas por delincuentes;
- la lista de hosts comprometidos de Emerging Threats.
El panel puede añadir más entradas. Todas se usan para reconocer destinos maliciosos; bloquearlos es una decisión aparte (más abajo).
Conexiones salientes
Cada 60 segundos el agente revisa las conexiones TCP IPv4 establecidas del servidor hacia direcciones públicas. Una conexión a una dirección listada se notifica como evento crítico egress_threat_match con la dirección, los puertos y la lista en la que aparece. La misma dirección no se vuelve a notificar antes de 30 minutos.
Estos eventos dicen con qué dirección habló el servidor, no qué programa lo hizo: la atribución al proceso solo está disponible para las consultas DNS.
Inspección DNS
Con Inspeccionar el tráfico DNS activado (por defecto), el agente lee las consultas y respuestas DNS del propio servidor a nivel de paquete: solo el puerto UDP 53, en solo lectura, con un filtro que se ejecuta en el kernel, hasta 3.000 paquetes por segundo. Las consultas que un servidor DNS del host responde para otras máquinas se ignoran.
Cada evento DNS indica el programa que preguntó: la aplicación que consultó ese nombre al resolver local (como systemd-resolved), o el propietario del socket que envió la consulta.
| Evento | Gravedad | Cuándo |
|---|---|---|
dns_threat_resolver |
crítico | Una consulta va a un servidor DNS que está en una lista de amenazas. |
dns_threat_answer |
aviso | Un dominio resuelve a una dirección listada. |
dns_tunneling |
aviso | 60 o más subdominios largos distintos de un mismo dominio en 5 minutos, o patrones de consultas TXT y NULL típicos de los túneles. |
dns_dga |
aviso | 20 o más dominios de aspecto aleatorio que no existen en 5 minutos, la señal del malware que genera dominios (DGA). |
dns_unlisted_resolver |
info | Un programa usa un servidor DNS distinto de los configurados. |
Los resolvers configurados se toman de /etc/resolv.conf, systemd-resolved y NetworkManager. El mismo hallazgo se notifica como mucho una vez cada 30 minutos.
Qué no se notifica
- El propio servicio DNS del servidor (systemd-resolved, dnsmasq, unbound, BIND, PowerDNS Recursor, CoreDNS, Pi-hole, AdGuard Home, el resolver de Docker y similares), cuando se ejecuta desde una ruta del sistema.
- Las búsquedas de hashes de los antivirus y las consultas antispam o de reputación (Sophos, McAfee, Trend Micro, ESET, Kaspersky, Spamhaus, SURBL, URIBL, SpamCop y otros), y las grandes CDN y nubes, que parecen túneles pero no lo son.
Bloqueo
- Entrante: Bloquear el tráfico de las listas de inteligencia de amenazas (desactivado por defecto) descarta el tráfico de las redes listadas, mediante el ipset
infrafence-threat. Necesitaipset, nunca se aplica en modo monitor y omite las entradas más amplias que un /8 o que cubren tu lista blanca, direcciones privadas o el panel. - Saliente: un destino se puede bloquear desde el panel o mediante AutoMode: consulta Puertos y bloqueo saliente.