Menaces sortantes et DNS
Comment InfraFence voit ce qui sort du serveur - connexions vers des adresses listées, requêtes DNS liées au programme qui les a faites, tunnels DNS, recherches DGA et résolveurs suspects.
Dernière mise à jour:
La plupart des outils surveillent ce qui entre. Un serveur compromis se trahit par ce qui sort : une connexion vers le serveur de contrôle d'un botnet, des données qui fuient par le DNS, un malware qui cherche son prochain domaine.
Listes de renseignement sur les menaces
Chaque serveur télécharge des listes publiques une fois par jour, directement chez leurs éditeurs :
- les listes Spamhaus DROP (IPv4 et IPv6), des réseaux détournés ou exploités par des criminels ;
- la liste Emerging Threats des hôtes compromis.
Le tableau de bord peut ajouter d'autres entrées. Toutes servent à reconnaître les destinations malveillantes ; les bloquer est un choix distinct (voir plus bas).
Connexions sortantes
Toutes les 60 secondes, l'agent examine les connexions TCP IPv4 établies du serveur vers des adresses publiques. Une connexion vers une adresse listée est signalée par un événement critique egress_threat_match avec l'adresse, les ports et la liste qui la contient. La même adresse n'est signalée à nouveau qu'au bout de 30 minutes au minimum.
Ces événements indiquent à quelle adresse le serveur a parlé, pas quel programme : l'attribution au processus n'existe que pour les requêtes DNS.
Inspection DNS
Avec Inspecter le trafic DNS activé (par défaut), l'agent lit les requêtes et réponses DNS propres au serveur au niveau des paquets : port UDP 53 uniquement, en lecture seule, avec un filtre qui s'exécute dans le noyau, jusqu'à 3 000 paquets par seconde. Les requêtes auxquelles un serveur DNS de l'hôte répond pour d'autres machines sont ignorées.
Chaque événement DNS nomme le programme à l'origine de la requête : l'application qui a interrogé le résolveur local (comme systemd-resolved) pour ce nom, ou le propriétaire du socket qui a envoyé la requête.
| Événement | Gravité | Quand |
|---|---|---|
dns_threat_resolver |
critique | Une requête part vers un serveur DNS présent sur une liste de menaces. |
dns_threat_answer |
avertissement | Un domaine se résout vers une adresse listée. |
dns_tunneling |
avertissement | 60 sous-domaines longs distincts ou plus d'un même domaine en 5 minutes, ou des schémas de requêtes TXT et NULL typiques des tunnels. |
dns_dga |
avertissement | 20 domaines inexistants ou plus d'apparence aléatoire en 5 minutes, la signature d'un malware qui génère des domaines (DGA). |
dns_unlisted_resolver |
info | Un programme utilise un serveur DNS autre que ceux configurés. |
Les résolveurs configurés proviennent de /etc/resolv.conf, de systemd-resolved et de NetworkManager. Une même détection est signalée au plus une fois toutes les 30 minutes.
Ce qui n'est pas signalé
- Le service DNS propre au serveur (systemd-resolved, dnsmasq, unbound, BIND, PowerDNS Recursor, CoreDNS, Pi-hole, AdGuard Home, le résolveur de Docker et similaires), lorsqu'il s'exécute depuis un chemin système.
- Les recherches de hash des antivirus et les recherches anti-spam ou de réputation (Sophos, McAfee, Trend Micro, ESET, Kaspersky, Spamhaus, SURBL, URIBL, SpamCop et d'autres), ainsi que les grands CDN et clouds, qui ressemblent à des tunnels sans en être.
Blocage
- Entrant : Bloquer le trafic des listes de renseignement sur les menaces (désactivé par défaut) rejette le trafic venant des réseaux listés, via l'ipset
infrafence-threat. Il nécessiteipset, ne s'applique jamais en mode surveillance et ignore les entrées plus larges qu'un /8 ou qui couvrent votre liste blanche, des adresses privées ou le tableau de bord. - Sortant : une destination peut être bloquée depuis le tableau de bord, ou par AutoMode : voir Ports et blocage sortant.