RS
в моем понимании dga - не IOC сам по себе. Это прсто знание правил формирования имени
это в чистом виде IOC
просто признак
просто признак
Size: a a a
2020 April 29
NA
если у меня питоновский код, который детектит dga, этот код - индикатор?
NA
мы сейчас впадем в терминологический спор. А в них правда не рождается
v
Это детект ттп! Или инструмента!
RS
если у меня питоновский код, который детектит dga, этот код - индикатор?
нет
а код, который сравнивает данные в фидах с трафиком/логами?
а код, который сравнивает данные в фидах с трафиком/логами?
RS
DGA просто не нужны внешние данные для работы (нужна обученная заранее модель)
NA
Это детект ттп! Или инструмента!
в такой формулировке, соглашусь )
$
мы сейчас впадем в терминологический спор. А в них правда не рождается
Окей, раз к запятым начали - то не сам dga, а домен, полученный в результате работы dga
$
Но мне кажется меня все прекрасно поняли
m
Окей, раз к запятым начали - то не сам dga, а домен, полученный в результате работы dga
много ли толку от такого фида?
$
много ли толку от такого фида?
Смотря как ты его формируешь и как примеряешь
m
IMO, это динамическая сущность, которую следуюет выявлять средствами защиты
m
т.е. алгоритм детектирования DGA в идеале фнункция:
- NGFW
- Secure DNS
- IPS
- NGFW
- Secure DNS
- IPS
m
если они умеют играть в статистику
$
Это опять все постфактум
m
расскажи кейс, где полученный фид в TIP - это не постафактум, в контексте DGA
m
т.е. алгоритм детектирования DGA в идеале фнункция:
- NGFW
- Secure DNS
- IPS
- NGFW
- Secure DNS
- IPS
сюда можно еще EDR добавить
$
Давай на примере того апк что я вам в своё время сдавал - там характерные домены - avito-id%d.ru
Забираем инфу по зареганным доменам, ловим выдачу сертификата на него, ловим изменение состояния - блочим раздачу apk файла в свою сеть ещё до того как трафферы тебе пролили
Забираем инфу по зареганным доменам, ловим выдачу сертификата на него, ловим изменение состояния - блочим раздачу apk файла в свою сеть ещё до того как трафферы тебе пролили
$
С бухтрапом та же фигня была.
1 ip - 53 домена. Все отсвечивали на определенных регистраторах/днс
Большую часть времени они неактивны. Включались перед работой
1 ip - 53 домена. Все отсвечивали на определенных регистраторах/днс
Большую часть времени они неактивны. Включались перед работой
$
Это так, маленькие превенты