Operatorii malițioși plasează adesea gazde compromise rotative în fața unui serviciu ascuns, dar tiparul observabil este maparea dinamică; de la sine, nu este un verdict despre domeniu.
Aranjamentele single-flux rotesc înregistrările de adrese Domain Name System (DNS), adesea cu valori mici de timp de viață (TTL). Double-flux schimbă și mapările serverelor de nume. Sistemele rotative pot face proxy pentru trafic către un backend ascuns folosit pentru comandă și control, phishing, livrare de malware sau fraudă.
Puncte esențiale
ArhitecturăDistingeți numele de domenii, serverele de nume autoritative, adresele front-end rotative, rolurile de proxy, serviciile backend și mecanismul de control, în loc să presupuneți că fiecare adresă returnată găzduiește conținutul final.
DoveziCorelați istoricul DNS, diversitatea adreselor și rețelelor, TTL-urile, schimbările de servere de nume, datele de hosting și certificate, conținutul, comunicațiile de endpoint și activitatea de comandă și control.
RăspunsAplicați controale proporționate, păstrați mapările sensibile la timp, partajați dovezi cu furnizorii și autoritățile relevante, remediați gazdele compromise și investigați endpointurile care au contactat infrastructura.
Limitare importantăTTL-urile mici, multele adrese, schimbările rapide și hosting-ul distribuit global apar și în livrarea legitimă de conținut, failover, scalare cloud și DNS dinamic. Indicatorii de fast-flux necesită context comportamental și de proprietate și nu dovedesc malware, un botnet sau control criminal.