Złośliwi operatorzy często umieszczają rotujące skompromitowane hosty przed ukrytą usługą, ale obserwowalnym wzorcem jest dynamiczne mapowanie; samo w sobie nie jest to wyrok o domenie.
Układy single-flux rotują rekordy adresowe Domain Name System (DNS), często z krótkimi wartościami time-to-live (TTL). Double-flux zmienia też mapowania serwerów nazw. Rotujące systemy mogą proxy'ować ruch do ukrytego backendu używanego do command and control, phishingu, dostarczania złośliwego oprogramowania lub oszustw.
Najważniejsze punkty
ArchitekturaRozróżniaj nazwy domen, autorytatywne serwery nazw, rotujące adresy front-endu, role proxy, usługi backendowe i mechanizm kontroli — zamiast zakładać, że każdy zwrócony adres hostuje ostateczną treść.
DowodyKoreluj historię DNS, różnorodność adresów i sieci, TTL-e, zmiany serwerów nazw, dane hostingu i certyfikatów, treść, komunikację punktów końcowych i aktywność command and control.
ReakcjaStosuj proporcjonalne kontrole, zachowuj wrażliwe na czas mapowania, dziel się dowodami z odpowiednimi dostawcami i organami, usuwaj kompromitacje hostów i badaj punkty końcowe, które kontaktowały się z infrastrukturą.
Istotne ograniczenieKrótkie TTL-e, wiele adresów, szybkie zmiany i globalnie rozproszony hosting występują też w legalnym dostarczaniu treści, failover, skalowaniu chmurowym i dynamicznym DNS. Wskaźniki fast-flux wymagają kontekstu behawioralnego i własnościowego oraz nie dowodzą złośliwego oprogramowania, botnetu ani przestępczej kontroli.