Ameaças de saída e DNS
Como o InfraFence vê o que sai do servidor: conexões com endereços listados, consultas DNS ligadas ao programa que as fez, túneis DNS, consultas DGA e resolvedores suspeitos.
Última atualização:
A maioria das ferramentas observa o que entra. Um servidor comprometido se revela pelo que sai: uma conexão com o controlador de uma botnet, dados vazando pelo DNS, um malware procurando o próximo domínio.
Listas de threat intelligence
Cada servidor baixa listas públicas uma vez por dia, direto de quem as publica:
- as listas DROP da Spamhaus (IPv4 e IPv6), redes sequestradas ou operadas por criminosos;
- a lista de hosts comprometidos da Emerging Threats.
O painel pode adicionar mais entradas. Todas são usadas para reconhecer destinos maliciosos; bloqueá-los é uma escolha separada (veja abaixo).
Conexões de saída
A cada 60 segundos o agente examina as conexões TCP IPv4 estabelecidas do servidor com endereços públicos. Uma conexão com um endereço listado é reportada como um evento crítico egress_threat_match, com o endereço, as portas e a lista em que ele está. O mesmo endereço volta a ser reportado no mínimo 30 minutos depois.
Esses eventos dizem com qual endereço o servidor falou, não qual programa: a atribuição ao processo só existe para as consultas DNS.
Inspeção DNS
Com Inspecionar o tráfego DNS ativado (o padrão), o agente lê as consultas e respostas DNS do próprio servidor no nível de pacote: só a porta UDP 53, somente leitura, com um filtro que roda no kernel, até 3.000 pacotes por segundo. As consultas que um servidor DNS no host responde para outras máquinas são ignoradas.
Cada evento DNS nomeia o programa que perguntou: a aplicação que consultou aquele nome no resolvedor local (como o systemd-resolved), ou o dono do socket que enviou a consulta.
| Evento | Severidade | Quando |
|---|---|---|
dns_threat_resolver |
crítica | Uma consulta vai para um servidor DNS que está em uma lista de ameaças. |
dns_threat_answer |
aviso | Um domínio resolve para um endereço listado. |
dns_tunneling |
aviso | 60 ou mais subdomínios longos distintos de um mesmo domínio em 5 minutos, ou padrões de consultas TXT e NULL típicos de túneis. |
dns_dga |
aviso | 20 ou mais domínios de aparência aleatória que não existem em 5 minutos, a marca de um malware que gera domínios (DGA). |
dns_unlisted_resolver |
info | Um programa usa um servidor DNS diferente dos configurados. |
Os resolvedores configurados vêm de /etc/resolv.conf, do systemd-resolved e do NetworkManager. A mesma detecção é reportada no máximo uma vez a cada 30 minutos.
O que não é reportado
- O próprio serviço DNS do servidor (systemd-resolved, dnsmasq, unbound, BIND, PowerDNS Recursor, CoreDNS, Pi-hole, AdGuard Home, o resolvedor do Docker e similares), quando roda a partir de um caminho do sistema.
- Consultas de hash de antivírus e consultas antispam ou de reputação (Sophos, McAfee, Trend Micro, ESET, Kaspersky, Spamhaus, SURBL, URIBL, SpamCop e outros), e grandes CDNs e nuvens, que parecem túneis mas não são.
Bloqueio
- Entrada: Bloquear tráfego das listas de threat intelligence (desligado por padrão) descarta o tráfego das redes listadas, por meio do ipset
infrafence-threat. Precisa doipset, nunca se aplica no modo monitor e pula entradas mais amplas que um /8 ou que cubram a sua whitelist, endereços privados ou o painel. - Saída: um destino pode ser bloqueado pelo painel ou pelo AutoMode: veja Portas e bloqueio de saída.