একজন বিশ্লেষকের হাতে প্যাসিভ ডিএনএস

ডোমেন নেম সিস্টেম (DNS) হল একটি ফোন বুকের মতো যা ব্যবহারকারী-বান্ধব নাম যেমন "ussc.ru" আইপি ঠিকানায় অনুবাদ করে। যেহেতু ডিএনএস কার্যকলাপ প্রোটোকল নির্বিশেষে প্রায় সমস্ত যোগাযোগ সেশনে উপস্থিত থাকে। এইভাবে, ডিএনএস লগিং তথ্য সুরক্ষা বিশেষজ্ঞের জন্য ডেটার একটি মূল্যবান উৎস, যা তাদের অসঙ্গতি সনাক্ত করতে বা তদন্তাধীন সিস্টেম সম্পর্কে অতিরিক্ত ডেটা পেতে দেয়।

2004 সালে, ফ্লোরিয়ান ওয়েইমার প্যাসিভ ডিএনএস নামে একটি লগিং পদ্ধতির প্রস্তাব করেছিলেন, যা আপনাকে সূচক এবং অনুসন্ধান করার ক্ষমতা সহ DNS ডেটা পরিবর্তনের ইতিহাস পুনরুদ্ধার করতে দেয়, যা নিম্নলিখিত ডেটাতে অ্যাক্সেস প্রদান করতে পারে:

• Имя имя
• অনুরোধ করা ডোমেন নামের আইপি ঠিকানা
• প্রতিক্রিয়ার তারিখ এবং সময়
• প্রতিক্রিয়ার ধরন
• এবং তাই অন

প্যাসিভ ডিএনএস-এর জন্য ডেটা বিল্ট-ইন মডিউল দ্বারা বা জোনের জন্য দায়ী ডিএনএস সার্ভার থেকে প্রতিক্রিয়াগুলিকে বাধা দিয়ে রিকার্সিভ ডিএনএস সার্ভার থেকে সংগ্রহ করা হয়।

চিত্র 1. প্যাসিভ DNS (সাইট থেকে নেওয়া ctovision.com)

প্যাসিভ ডিএনএস-এর বিশেষত্ব হল ক্লায়েন্টের আইপি ঠিকানা নিবন্ধন করার প্রয়োজন নেই, যা ব্যবহারকারীর গোপনীয়তা রক্ষা করতে সাহায্য করে।

এই মুহুর্তে, প্যাসিভ ডিএনএস ডেটা অ্যাক্সেস প্রদান করে এমন অনেক পরিষেবা রয়েছে:

ডিএনএসডিবি
VirusTotal
প্যাসিভ টোটাল
অক্টোপাস
নিরাপত্তা ট্রেল
ছাতা তদন্ত

দৃঢ়
দূরদর্শী নিরাপত্তা
VirusTotal
রিস্কিক
নিরাপদ ডিএনএস
নিরাপত্তা ট্রেল
সিসকো

প্রবেশ
অনুরোধে
নিবন্ধন প্রয়োজন হয় না
নিবন্ধন বিনামূল্যে
অনুরোধে
নিবন্ধন প্রয়োজন হয় না
অনুরোধে

এপিআই
উপস্থাপন
উপস্থাপন
উপস্থাপন
উপস্থাপন
উপস্থাপন
উপস্থাপন

গ্রাহক উপস্থিতি
উপস্থাপন
উপস্থাপন
উপস্থাপন
না
না
না

তথ্য সংগ্রহের শুরু
2010 বছর
2013 বছর
2009 বছর
শুধুমাত্র শেষ 3 মাস প্রদর্শন করে
2008 বছর
2006 বছর

সারণী 1. প্যাসিভ ডিএনএস ডেটা অ্যাক্সেস সহ পরিষেবা

প্যাসিভ DNS-এর জন্য কেস ব্যবহার করুন

প্যাসিভ ডিএনএস ব্যবহার করে, আপনি ডোমেন নাম, এনএস সার্ভার এবং আইপি ঠিকানাগুলির মধ্যে সম্পর্ক তৈরি করতে পারেন। এটি আপনাকে অধ্যয়নের অধীনে সিস্টেমগুলির মানচিত্র তৈরি করতে এবং প্রথম আবিষ্কার থেকে বর্তমান মুহুর্ত পর্যন্ত এই জাতীয় মানচিত্রের পরিবর্তনগুলি ট্র্যাক করতে দেয়।

প্যাসিভ ডিএনএস ট্র্যাফিকের অসঙ্গতিগুলি সনাক্ত করা সহজ করে তোলে। উদাহরণ স্বরূপ, NS জোন এবং টাইপ A এবং AAAA এর রেকর্ডের পরিবর্তনগুলি ট্র্যাক করা আপনাকে দ্রুত ফ্লাক্স পদ্ধতি ব্যবহার করে ক্ষতিকারক সাইটগুলি সনাক্ত করতে দেয়, যা সনাক্তকরণ এবং ব্লক করা থেকে C&C লুকানোর জন্য ডিজাইন করা হয়েছে৷ কারণ বৈধ ডোমেইন নাম (লোড ব্যালেন্সিংয়ের জন্য ব্যবহৃত ব্যতীত) তাদের IP ঠিকানাগুলি প্রায়শই পরিবর্তন করবে না এবং বেশিরভাগ বৈধ অঞ্চলগুলি খুব কমই তাদের NS সার্ভারগুলি পরিবর্তন করে।

প্যাসিভ DNS, অভিধান ব্যবহার করে সাবডোমেনগুলির সরাসরি গণনার বিপরীতে, আপনাকে এমনকি সবচেয়ে বিদেশী ডোমেন নামগুলি খুঁজে পেতে দেয়, উদাহরণস্বরূপ, "222qmxacaiqaaaaazibq4aaidhmbqaaa0undefined7140c0.p.hoff.ru"৷ এটি কখনও কখনও আপনাকে ওয়েবসাইট, বিকাশকারী সামগ্রী ইত্যাদির পরীক্ষা (এবং দুর্বল) ক্ষেত্রগুলি খুঁজে পেতে অনুমতি দেয়।

প্যাসিভ ডিএনএস ব্যবহার করে একটি ইমেল থেকে একটি লিঙ্ক পরীক্ষা করা

এই মুহুর্তে, স্প্যাম হল একটি প্রধান উপায় যার মাধ্যমে একজন আক্রমণকারী শিকারের কম্পিউটারে প্রবেশ করে বা গোপনীয় তথ্য চুরি করে। এই পদ্ধতির কার্যকারিতা মূল্যায়ন করতে প্যাসিভ ডিএনএস ব্যবহার করে এমন একটি ইমেল থেকে লিঙ্কটি পরীক্ষা করার চেষ্টা করা যাক।

চিত্র 2. স্প্যাম ইমেইল

এই চিঠির লিঙ্কটি magnit-boss.rocks সাইটের দিকে নিয়ে যায়, যা স্বয়ংক্রিয়ভাবে বোনাস সংগ্রহ এবং অর্থ গ্রহণের প্রস্তাব দেয়:

চিত্র 3. magnit-boss.rocks ডোমেনে হোস্ট করা পৃষ্ঠা

এই সাইট অধ্যয়নের জন্য ব্যবহার করা হয়েছিল Riskiq API, যা ইতিমধ্যে 3 রেডিমেড ক্লায়েন্ট চালু আছে পাইথন, চুনি и জং.

প্রথমত, আমরা এই ডোমেন নামের পুরো ইতিহাস খুঁজে বের করব, এর জন্য আমরা কমান্ডটি ব্যবহার করব:

pt-ক্লায়েন্ট pdns --query magnit-boss.rocks

এই কমান্ডটি এই ডোমেন নামের সাথে যুক্ত সমস্ত DNS রেজোলিউশন সম্পর্কে তথ্য প্রদান করবে।

চিত্র 4. Riskiq API থেকে প্রতিক্রিয়া

চলুন API থেকে প্রতিক্রিয়াটিকে আরও ভিজ্যুয়াল ফর্মে নিয়ে আসা যাক:

চিত্র 5. প্রতিক্রিয়া থেকে সমস্ত এন্ট্রি

আরও গবেষণার জন্য, আমরা 01.08.2019/92.119.113.112/85.143.219.65 তারিখে চিঠিটি পাওয়ার সময় এই ডোমেন নামটি সমাধান করা আইপি ঠিকানাগুলি নিয়েছিলাম, এই জাতীয় আইপি ঠিকানাগুলি হল নিম্নলিখিত ঠিকানাগুলি XNUMX এবং XNUMX৷

কমান্ড ব্যবহার করে:

pt-ক্লায়েন্ট pdns --query

আপনি প্রদত্ত আইপি ঠিকানাগুলির সাথে যুক্ত সমস্ত ডোমেন নাম পেতে পারেন।
IP ঠিকানা 92.119.113.112-এ 42টি অনন্য ডোমেন নাম রয়েছে যা এই IP ঠিকানায় সমাধান করেছে, যার মধ্যে নিম্নলিখিত নামগুলি রয়েছে:

• magnet-boss.club
• igroie-automaty.me
• pro-x-audit.xyz
• zep3-www.xyz
• এবং অন্যদের

IP ঠিকানা 85.143.219.65-এ 44টি অনন্য ডোমেন নাম রয়েছে যা এই IP ঠিকানায় সমাধান করেছে, যার মধ্যে নিম্নলিখিত নামগুলি রয়েছে:

• cvv2.name (ক্রেডিট কার্ড ডেটা বিক্রির ওয়েবসাইট)
• emaills.world
• www.mailru.space
• এবং অন্যদের

এই ডোমেন নামগুলির সাথে সংযোগগুলি ফিশিংয়ের দিকে পরিচালিত করে, তবে আমরা সদয় ব্যক্তিদের বিশ্বাস করি, তাই আসুন 332 রুবেল বোনাস পাওয়ার চেষ্টা করি? "হ্যাঁ" বোতামে ক্লিক করার পরে, সাইটটি অ্যাকাউন্টটি আনলক করতে কার্ড থেকে 501.72 রুবেল স্থানান্তর করতে বলে এবং ডেটা প্রবেশের জন্য as-torpay.info সাইটে পাঠায়৷

চিত্র 6. সাইটের প্রধান পাতা ac-pay2day.net

এটি একটি আইনি সাইটের মত দেখায়, একটি https শংসাপত্র আছে, এবং মূল পৃষ্ঠাটি এই পেমেন্ট সিস্টেমটিকে আপনার সাইটে সংযুক্ত করার প্রস্তাব দেয়, কিন্তু, হায়, সংযোগের সমস্ত লিঙ্ক কাজ করে না। এই ডোমেন নামটি শুধুমাত্র 1টি আইপি ঠিকানার সমাধান করে - 190.115.19.74। এর পরিবর্তে, 1475টি অনন্য ডোমেন নাম রয়েছে যা এই আইপি ঠিকানার সমাধান করে, যেমন নামগুলি সহ:

• ac-pay2day.net
• ac-payfit.com
• as-manypay.com
• fletkass.net
• as-magicpay.com
• এবং অন্যদের

আমরা দেখতে পাচ্ছি, প্যাসিভ ডিএনএস আপনাকে অধ্যয়নাধীন সংস্থান সম্পর্কে দ্রুত এবং দক্ষতার সাথে ডেটা সংগ্রহ করতে দেয় এবং এমনকি এমন এক ধরণের ছাপ তৈরি করতে দেয় যা আপনাকে ব্যক্তিগত ডেটা চুরি করার পুরো স্কিমটি উন্মোচন করতে দেয়, এর প্রাপ্তি থেকে বিক্রির সম্ভাব্য স্থান পর্যন্ত।

চিত্র 7. অধ্যয়নের অধীনে সিস্টেমের মানচিত্র

সবকিছু আমাদের পছন্দ মতো গোলাপী নয়। উদাহরণস্বরূপ, এই জাতীয় তদন্তগুলি ক্লাউডফ্লেয়ার বা অনুরূপ পরিষেবাগুলিতে সহজেই ভেঙে যেতে পারে। এবং সংগৃহীত ডাটাবেসের কার্যকারিতা প্যাসিভ ডিএনএস ডেটা সংগ্রহের জন্য মডিউলের মধ্য দিয়ে যাওয়া ডিএনএস প্রশ্নের সংখ্যার উপর নির্ভর করে। তবুও, প্যাসিভ ডিএনএস হল গবেষকের জন্য অতিরিক্ত তথ্যের উৎস।

লেখক: ইউরাল সেন্টার ফর সিকিউরিটি সিস্টেমের বিশেষজ্ঞ

উত্স: www.habr.com