T1568.001: 快速通量 DNS

摘要

攻击者可能使用 Fast Flux DNS 将命令与控制通道隐藏在一组与单个域名解析相关联的快速变化的 IP 地址之后。此技术使用一个完全限定域名，为其分配多个 IP 地址，这些地址以高频率进行交换，并结合了轮询 IP 寻址和 DNS 资源记录的短生存时间（TTL）。(Citation: MehtaFastFluxPt1)(Citation: MehtaFastFluxPt2)(Citation: Fast Flux - Welivesecurity) 最简单的方法“单通量”涉及为单个 DNS 名称在 DNS A（地址）记录列表中注册和注销地址。这些注册的平均生存时间为五分钟，导致 IP 地址解析不断洗牌。(Citation: Fast Flux - Welivesecurity) 相比之下，“双通量”方法为 DNS 区域在 DNS 名称服务器记录列表中注册和注销地址，为连接提供了额外的弹性。使用双通量时，额外的宿主可以充当 C2 主机的代理，进一步掩盖 C2 通道的真实来源。