DNSQUERY – DNSクエリ量の異常

メソッドの説明

このメソッドは1つのステーションによって送信されたDNSクエリの増加数を検知します。過去1時間のDNSクエリの数がカウントされます。この数が他のステーションの平均よりもn-倍多い場合に、イベントが報告されます。nはMultiplicatorパラメータで定義します。平均は、MinimalQueryLimitを超えるクエリを送信したステーションのみから計算されます。DNSサーバをこの検知から除外できます(ExcudeDNSパラメータの値をyesに設定した場合。デフォルト値はnoです)。

このメソッドは、以下のサブメソッドで構成されます。

• QueriesCount: 監視対象のネットワーク内でデバイスが送信するDNSクエリの数を監視し、その数が著しく増加した場合にレポートします。

メソッド設定

このメソッドは、IPアドレスに関係なく、ネットワーク全体にわたってすべてのネットワークトラフィックに対して適用することをお勧めします。トラフィックの適切な監視場所は中央のスイッチです。

メソッドパラメータ

• MinimalQueryLimit: 1つのデバイスから送信されたDNSクエリの最小数に対する閾値。この値を超えたデバイスが検知されます。

• Multiplicator: 動的な閾値を計算するための係数。閾値は、この係数とネットワーク平均の積として評価されます。

• ExcludeDNS: 多くのDNSクエリを送信できるIPアドレスを定義するフィルタの名前。

フィルタの割り当て

このフィルタは、送信元IPアドレスの制限に使用されます。

結果の解釈

このメソッドは、DNSクエリ数の増加を高い信頼性で警告します。これは、DNSサーバの過負荷、ネットワーク攻撃、悪意あるアプリケーションの存在、またはDNSプロトコル経由のデータ流出を示唆している可能性があります。