O que os seus logs de DNS dizem sobre ameaças que já estão dentro da sua rede

Uma das maiores dificuldades das equipes de segurança é detectar ameaças que já conseguiram ultrapassar as barreiras iniciais de proteção. Um dispositivo comprometido pode continuar sua comunicação dentro da rede sem provocar sinais perceptíveis.

Justamente por esse motivo, é importante olhar para fontes de informação que já existem no ambiente, mas nem sempre recebem a devida atenção, como os logs de DNS. Neste artigo, você entenderá o que são logs de DNS, quais ataques podem ser identificados por meio deles e por que é tão importante monitorá-los de forma rotineira.

O que são logs de DNS? 

O DNS (Domain Name System) é o sistema que traduz os nomes de domínio, como o endereço de um site, para o endereço IP correspondente. Por exemplo, ao digitar "managenegine.com/br/" no navegador, o computador pergunta ao servidor DNS qual endereço está associado ao domínio manageengine.com.

Depois de receber a resposta, ele consegue iniciar a conexão com o servidor do site. A consulta nem sempre acontece a cada acesso. Se a informação já estiver armazenada temporariamente no dispositivo, ou em outro servidor intermediário, ela poderá ser reutilizada até que expire.

Os logs de DNS são o registro dessas consultas. Dependendo do servidor e da configuração adotadas, eles podem incluir informações como o horário, o IP do dispositivo que fez o pedido, o domínio consultado e a resposta recebida. Esses dados ajudam a identificar a origem e o momento das consultas, revelando falhas de configuração e comportamentos suspeitos.

Quando analisados continuamente e correlacionados com outras fontes de segurança, os logs de DNS ajudam a identificar comportamentos anormais, localizar dispositivos possivelmente comprometidos e acelerar a resposta a incidentes antes que a ameaça provoque interrupções, vazamentos ou movimentação lateral.

Ameaças que podem deixar sinais nos logs de DNS

Muitas ameaças utilizam o DNS para localizar servidores maliciosos, receber comandos ou transmitir informações. Por isso, os logs de DNS podem revelar comportamentos relacionados a diferentes tipos de ataque.

Algumas ameaças são apresentadas a seguir:

DNS hijacking

No DNS hijacking, o atacante altera a resposta de uma consulta para que o usuário seja levado a um servidor controlado por ele, normalmente uma página falsa feita para roubar credenciais.

Nos logs, isso pode aparecer quando um domínio conhecido passa a apontar para um IP diferente do esperado, ou quando algum dispositivo começa a utilizar um servidor DNS que não é o da empresa.

Se um dispositivo passar a utilizar um servidor DNS externo ou não autorizado, essa atividade poderá precisar ser identificada pela correlação com logs de firewall, endpoints ou tráfego de rede, pois as consultas podem deixar de passar pelo servidor DNS corporativo.

DNS tunneling

O DNS tunneling consiste em esconder dados dentro das próprias consultas e respostas de DNS. Assim, o atacante consegue enviar comandos para um dispositivo infectado ou retirar informações da rede, aproveitando um protocolo que geralmente é permitido nos ambientes corporativos.

Entre os possíveis sinais estão um volume incomum de consultas para um mesmo domínio e por subdomínios muito longos, com aparência de texto aleatório. No entanto, ataques mais discretos também podem realizar consultas espaçadas para evitar detecção.

Ataques de DoS

Em um ataque de negação de serviço (DoS) direcionado ao DNS, o servidor recebe um volume de consultas superior à sua capacidade, dificultando ou impedindo o atendimento aos usuários legítimos.

Um exemplo é o ataque NXDOMAIN, em que o servidor é inundado com consultas a domínios que não existem. Nos logs, é possível notar picos de volume de consultas e um aumento nas respostas de erro.

Outros comportamentos suspeitos

Além desses três ataques, os logs ajudam a identificar consultas repetidas em intervalos regulares para o mesmo domínio, que podem indicar um dispositivo se comunicando com um servidor de comando e controle. 

Outros sinais incluem consultas a domínios reconhecidos como maliciosos e atividades incompatíveis com a função esperada do dispositivo, como um impressora realizando consultas incomuns.

Por que os logs de DNS são subutilizados?

Como a infraestrutura de DNS já faz parte da rede corporativa, sua utilização como fonte de informações de segurança pode ser mais simples do que a implantação de uma nova tecnologia. Dependendo do ambiente, porém, é necessário habilitar o nível adequado de registro, centralizar os dados e definir como eles serão armazenados e analisados.

Ainda assim, muitas empresas não aproveitam essas informações. O volume de consultas é muito alto, cada registro isolado traz pouco contexto e é difícil separar o que é realmente suspeito do que é apenas incomum. Por isso, os logs de DNS frequentemente são utilizados de forma reativa, somente após a identificação de um incidente.

Como monitorar os logs de DNS continuamente?

Para que o monitoramento funcione, ele precisa ser contínuo e sistemático, e não algo feito apenas quando surge um problema.

Primeiramente, é importante reunir os logs dos servidores de DNS, firewalls e proxys em um único local. Em segundo lugar, é necessário definir qual é o comportamento normal da rede, já que só assim os desvios se tornam visíveis.

Em seguida, os eventos devem ser correlacionados com outras fontes, pois uma consulta suspeita isolada diz pouco, mas com outros indícios, passa a ser uma evidência. Por fim, é preciso configurar alertas e definir quem age, e como, quando algo for detectado.

Como utilizar o Log360 e o OpUtils no monitoramento de DNS

A ManageEngine possui duas soluções que se complementam nesse processo. Enquanto o Log360 mostra o que está acontecendo nos logs, o OpUtils ajuda a descobrir onde está o dispositivo envolvido.

Log360

O Log360, solução de SIEM da ManageEngine, reúne os logs de diversas fontes de DNS, firewall e proxy, e os correlaciona para identificar ameaças. A correlação de eventos e os mecanismos de detecção ajudam a contextualizar consultas de DNS suspeitas a outras atividades da rede, facilitando a investigação de incidentes.

A ferramenta possui detecção de inteligência de ameaças de DNS tunneling (DNS tunneling threat intelligence), que sinaliza o acesso a domínios e IPs maliciosos conhecidos. Além disso, os alertas e fluxos de resposta automatizados avisam a equipe e iniciam ações quando uma ameaça é detectada.

OpUtils

O OpUtils é uma ferramenta de gerenciamento de endereços IP e portas de switch. Quando o log de DNS registra o IP de origem de uma consulta suspeita, a solução ajuda a relacioná-lo ao dispositivo correspondente.

O Switch Port Mapper mostra em qual switch e porta o dispositivo está conectado; o Rogue Detection identifica dispositivos como novos ou desconhecidos e permite classificá-los como confiáveis, convidados ou não autorizados. Ele envia alertas, inclusive para ARP spoofing. Em switches compatíveis e devidamente configurados, também é possível bloquear a porta pela própria ferramenta, ajudando a isolar o dispositivo durante a investigação.

Esses comportamentos não confirmam isoladamente a existência de uma ameaça, mas ajudam a direcionar a investigação. Desse modo, ao unir a análise do Log360 com a localização feita pelo OpUtils, a equipe consegue sair do alerta e chegar ao dispositivo comprometido com muito mais rapidez.

Tem interesse em conhecer mais das soluções? Faça um teste gratuito de 30 dias: Log360 e OpUtils.

Nota: Encontre a revenda da ManageEngine certa. Entre em contato com a nossa equipe de canais pelo e-mail latam-sales@manageengine.com.

Importante: a ManageEngine não trabalha com distribuidores no Brasil.