ອິນເຕີເນັດຢູ່ເຮືອນແລະສະຖິຕິເຄື່ອງແມ່ຂ່າຍຊື່ໂດເມນແນວໃດ?

ເຣົາເຕີເຮືອນ (ໃນກໍລະນີນີ້ FritzBox) ສາມາດບັນທຶກໄດ້ຫຼາຍ: ການຈະລາຈອນຈະໄປໃນເວລາໃດ, ໃຜເຊື່ອມຕໍ່ດ້ວຍຄວາມໄວເທົ່າໃດ, ແລະອື່ນໆ. ເຊີບເວີຊື່ໂດເມນ (DNS) ຢູ່ໃນເຄືອຂ່າຍທ້ອງຖິ່ນໄດ້ຊ່ວຍຂ້ອຍຊອກຫາສິ່ງທີ່ເຊື່ອງໄວ້ຢູ່ເບື້ອງຫຼັງຜູ້ຮັບທີ່ບໍ່ຮູ້ຈັກ.

ໂດຍລວມແລ້ວ, DNS ມີຜົນກະທົບທາງບວກຕໍ່ເຄືອຂ່າຍບ້ານ: ມັນໄດ້ເພີ່ມຄວາມໄວ, ຄວາມຫມັ້ນຄົງແລະການຄຸ້ມຄອງ.

ຂ້າງລຸ່ມນີ້ແມ່ນແຜນວາດທີ່ຍົກຄໍາຖາມແລະຄວາມຕ້ອງການທີ່ຈະເຂົ້າໃຈສິ່ງທີ່ເກີດຂຶ້ນ. ຜົນໄດ້ຮັບແລ້ວການກັ່ນຕອງອອກຄໍາຮ້ອງຂໍທີ່ຮູ້ຈັກແລະເຮັດວຽກກັບເຄື່ອງແມ່ຂ່າຍຊື່ໂດເມນ.

ເປັນຫຍັງ 60 ໂດເມນທີ່ບໍ່ຊັດເຈນຖືກສໍາຫຼວດທຸກໆມື້ໃນຂະນະທີ່ທຸກຄົນຍັງນອນຫລັບ?

ທຸກໆມື້, 440 ໂດເມນທີ່ບໍ່ຮູ້ຈັກແມ່ນໄດ້ຖືກສໍາຫຼວດໃນລະຫວ່າງຊົ່ວໂມງທີ່ມີການເຄື່ອນໄຫວ. ພວກເຂົາແມ່ນໃຜແລະພວກເຂົາເຮັດຫຍັງ?

ຈໍານວນຄໍາຮ້ອງຂໍສະເລ່ຍຕໍ່ມື້ຕໍ່ຊົ່ວໂມງ

ການສອບຖາມລາຍງານ SQL

WITH CLS AS ( /* prepare unique requests */
SELECT
DISTINCT DATE_NK,
STRFTIME( '%s', SUBSTR(DATE_NK,8,4) || '-' ||
	CASE SUBSTR(DATE_NK,4,3)
	WHEN 'Jan' THEN '01' WHEN 'Feb' THEN '02' WHEN 'Mar' THEN '03' WHEN 'Apr' THEN '04' WHEN 'May' THEN '05' WHEN 'Jun' THEN '06'
	WHEN 'Jul' THEN '07' WHEN 'Aug' THEN '08' WHEN 'Sep' THEN '09' WHEN 'Oct' THEN '10' WHEN 'Nov' THEN '11'
	ELSE '12' END || '-' || SUBSTR(DATE_NK,1,2) || ' ' || SUBSTR(TIME_NK,1,8) ) AS EVENT_DT,
REQUEST_NK, DOMAIN
FROM STG_BIND9_LOG )
SELECT
  1 as 'Line: DNS Requests per Day for Hours',
  strftime('%H:00', datetime(EVENT_DT, 'unixepoch')) AS 'Day',
  ROUND(1.0*SUM(1)/COUNT(DISTINCT strftime('%d.%m', datetime(EVENT_DT, 'unixepoch'))), 1) AS 'Requests per Day'
FROM CLS
WHERE DOMAIN NOT IN ('in-addr.arpa', 'IN-ADDR.ARPA', 'local', 'dyndns', 'nas', 'ntp.org')
  AND datetime(EVENT_DT, 'unixepoch') > date('now', '-20 days')
GROUP BY /* hour aggregate */
  strftime('%H:00', datetime(EVENT_DT, 'unixepoch'))
ORDER BY strftime('%H:00', datetime(EVENT_DT, 'unixepoch'))

ໃນຕອນກາງຄືນ, ການເຂົ້າເຖິງໄຮ້ສາຍຖືກປິດການໃຊ້ງານແລະກິດຈະກໍາອຸປະກອນຄາດວ່າຈະ, i.e. ບໍ່ມີການລົງຄະແນນສຽງສໍາລັບໂດເມນທີ່ບໍ່ຮູ້ຈັກ. ນີ້ຫມາຍຄວາມວ່າກິດຈະກໍາທີ່ຍິ່ງໃຫຍ່ທີ່ສຸດແມ່ນມາຈາກອຸປະກອນທີ່ມີລະບົບປະຕິບັດການເຊັ່ນ Android, iOS ແລະ Blackberry OS.

ໃຫ້ບອກລາຍຊື່ໂດເມນທີ່ຖືກສຳຫຼວດຢ່າງເຂັ້ມງວດ. ຄວາມເຂັ້ມຂຸ້ນຈະຖືກກໍານົດໂດຍຕົວກໍານົດການເຊັ່ນ: ຈໍານວນຄໍາຮ້ອງຂໍຕໍ່ມື້, ຈໍານວນມື້ຂອງກິດຈະກໍາແລະໃນຈໍານວນຊົ່ວໂມງຂອງມື້ທີ່ພວກເຂົາສັງເກດເຫັນ.

ຜູ້ຕ້ອງສົງໄສທັງໝົດຢູ່ໃນບັນຊີລາຍຊື່.

ໂດເມນທີ່ມີການສໍາຫຼວດຢ່າງເຂັ້ມງວດ

ການສອບຖາມລາຍງານ SQL

WITH CLS AS ( /* prepare unique requests */
SELECT
DISTINCT DATE_NK,
STRFTIME( '%s', SUBSTR(DATE_NK,8,4) || '-' ||
	CASE SUBSTR(DATE_NK,4,3)
	WHEN 'Jan' THEN '01' WHEN 'Feb' THEN '02' WHEN 'Mar' THEN '03' WHEN 'Apr' THEN '04' WHEN 'May' THEN '05' WHEN 'Jun' THEN '06'
	WHEN 'Jul' THEN '07' WHEN 'Aug' THEN '08' WHEN 'Sep' THEN '09' WHEN 'Oct' THEN '10' WHEN 'Nov' THEN '11'
	ELSE '12' END || '-' || SUBSTR(DATE_NK,1,2) || ' ' || SUBSTR(TIME_NK,1,8) ) AS EVENT_DT,
REQUEST_NK, DOMAIN
FROM STG_BIND9_LOG )
SELECT 
  1 as 'Table: Havy DNS Requests',
  REQUEST_NK AS 'Request',
  DOMAIN AS 'Domain',
  REQ AS 'Requests per Day',
  DH AS 'Hours per Day',
  DAYS AS 'Active Days'
FROM (
SELECT
  REQUEST_NK, MAX(DOMAIN) AS DOMAIN,
  COUNT(DISTINCT REQUEST_NK) AS SUBD,
  COUNT(DISTINCT strftime('%d.%m', datetime(EVENT_DT, 'unixepoch'))) AS DAYS,
  ROUND(1.0*SUM(1)/COUNT(DISTINCT strftime('%d.%m', datetime(EVENT_DT, 'unixepoch'))), 1) AS REQ,
  ROUND(1.0*COUNT(DISTINCT strftime('%d.%m %H', datetime(EVENT_DT, 'unixepoch')))/COUNT(DISTINCT strftime('%d.%m', datetime(EVENT_DT, 'unixepoch'))), 1) AS DH
FROM CLS
WHERE DOMAIN NOT IN ('in-addr.arpa', 'IN-ADDR.ARPA', 'local', 'dyndns', 'nas', 'ntp.org')
  AND datetime(EVENT_DT, 'unixepoch') > date('now', '-20 days')
GROUP BY REQUEST_NK )
WHERE DAYS > 9 -- long period
ORDER BY 4 DESC, 5 DESC
LIMIT 20

ພວກເຮົາບລັອກ isс.blackberry.com ແລະ iceberg.blackberry.com, ເຊິ່ງຜູ້ຜະລິດຈະຢືນຢັນເຫດຜົນດ້ານຄວາມປອດໄພ. ຜົນໄດ້ຮັບ: ເມື່ອພະຍາຍາມເຊື່ອມຕໍ່ກັບ WLAN, ມັນຈະສະແດງຫນ້າເຂົ້າສູ່ລະບົບແລະບໍ່ເຄີຍເຊື່ອມຕໍ່ບ່ອນໃດອີກເທື່ອຫນຶ່ງ. ໃຫ້ປົດບລັອກມັນ.

detectportal.firefox.com ແມ່ນກົນໄກດຽວກັນ, ປະຕິບັດພຽງແຕ່ໃນຕົວທ່ອງເວັບ Firefox. ຖ້າທ່ານຕ້ອງການເຂົ້າສູ່ລະບົບເຄືອຂ່າຍ WLAN, ມັນຈະສະແດງຫນ້າເຂົ້າສູ່ລະບົບກ່ອນ. ມັນບໍ່ຊັດເຈນທັງຫມົດວ່າເປັນຫຍັງທີ່ຢູ່ຄວນໄດ້ຮັບການ pinged ເລື້ອຍໆ, ແຕ່ກົນໄກໄດ້ຖືກອະທິບາຍຢ່າງຊັດເຈນໂດຍຜູ້ຜະລິດ.

skype. ການປະຕິບັດຂອງໂປລແກລມນີ້ແມ່ນຄ້າຍຄືກັນກັບແມ່ທ້ອງ: ມັນເຊື່ອງແລະບໍ່ອະນຸຍາດໃຫ້ຕົວເອງຖືກຂ້າຢູ່ໃນແຖບວຽກ, ສ້າງການຈະລາຈອນຫຼາຍໃນເຄືອຂ່າຍ, pings 10 ໂດເມນທຸກໆ 4 ນາທີ. ເມື່ອໂທວິດີໂອ, ການເຊື່ອມຕໍ່ອິນເຕີເນັດຈະຢຸດລົງຢ່າງຕໍ່ເນື່ອງ, ເມື່ອມັນບໍ່ສາມາດດີຂຶ້ນໄດ້. ສໍາລັບໃນປັດຈຸບັນມັນເປັນສິ່ງຈໍາເປັນ, ສະນັ້ນມັນຍັງຄົງຢູ່.

upload.fp.measure.office.com - ຫມາຍເຖິງ Office 365, ຂ້ອຍບໍ່ສາມາດຊອກຫາຄໍາອະທິບາຍທີ່ເຫມາະສົມ.
browser.pipe.aria.microsoft.com - ຂ້ອຍບໍ່ສາມາດຊອກຫາຄໍາອະທິບາຍທີ່ເຫມາະສົມ.
ພວກເຮົາຕັນທັງສອງ.

connect.facebook.net - ຄໍາຮ້ອງສະຫມັກສົນທະນາເຟສບຸກ. ຍັງຄົງຢູ່.

mediator.mail.ru ການວິເຄາະການຮ້ອງຂໍທັງຫມົດສໍາລັບໂດເມນ mail.ru ສະແດງໃຫ້ເຫັນເຖິງການມີຊັບພະຍາກອນການໂຄສະນາແລະຜູ້ເກັບສະຖິຕິຈໍານວນຫລາຍ, ເຊິ່ງເຮັດໃຫ້ເກີດຄວາມບໍ່ໄວ້ວາງໃຈ. ໂດເມນ mail.ru ຖືກສົ່ງໄປຢູ່ໃນບັນຊີດໍາທັງຫມົດ.

google-analytics.com - ບໍ່ມີຜົນຕໍ່ການເຮັດວຽກຂອງອຸປະກອນ, ດັ່ງນັ້ນພວກເຮົາສະກັດມັນ.
doubleclick.net - ນັບການຄລິກໂຄສະນາ. ພວກເຮົາຕັນ.

ຄໍາຮ້ອງຂໍຈໍານວນຫຼາຍໄປຫາ googleapis.com. ການຂັດຂວາງໄດ້ນໍາໄປສູ່ການປິດຢ່າງມີຄວາມສຸກຂອງຂໍ້ຄວາມສັ້ນໃນແທັບເລັດ, ເຊິ່ງເບິ່ງຄືວ່າຂ້ອຍໂງ່. ແຕ່ playstore ຢຸດເຮັດວຽກ, ສະນັ້ນໃຫ້ພວກເຮົາ unblock ມັນ.

cloudflare.com - ພວກເຂົາຂຽນວ່າພວກເຂົາຮັກແຫຼ່ງເປີດແລະໂດຍທົ່ວໄປ, ຂຽນຫຼາຍກ່ຽວກັບຕົວເອງ. ຄວາມເຂັ້ມຂົ້ນຂອງການສໍາຫຼວດໂດເມນແມ່ນບໍ່ຊັດເຈນທັງຫມົດ, ເຊິ່ງມັກຈະສູງກວ່າກິດຈະກໍາຕົວຈິງໃນອິນເຕີເນັດ. ປ່ອຍໃຫ້ມັນສໍາລັບໃນປັດຈຸບັນ.

ດັ່ງນັ້ນ, ຄວາມເຂັ້ມຂຸ້ນຂອງການຮ້ອງຂໍແມ່ນມັກຈະກ່ຽວຂ້ອງກັບການເຮັດວຽກທີ່ຕ້ອງການຂອງອຸປະກອນ. ແຕ່ຜູ້ທີ່ overd ມັນກັບກິດຈະກໍາກໍ່ໄດ້ຖືກຄົ້ນພົບ.

ທໍາອິດທີ່ສຸດ

ເມື່ອອິນເຕີເນັດໄຮ້ສາຍເປີດຢູ່, ທຸກຄົນຍັງນອນຫລັບຢູ່ ແລະສາມາດເຫັນໄດ້ວ່າຄໍາຮ້ອງຂໍໃດຖືກສົ່ງໄປຫາເຄືອຂ່າຍກ່ອນ. ດັ່ງນັ້ນ, ໃນເວລາ 6:50 ອິນເຕີເນັດເປີດແລະໃນໄລຍະເວລາສິບນາທີທໍາອິດຂອງເວລາ 60 ໂດເມນໄດ້ຖືກສໍາຫຼວດປະຈໍາວັນ:

ການສອບຖາມລາຍງານ SQL

WITH CLS AS ( /* prepare unique requests */
SELECT
DISTINCT DATE_NK,
STRFTIME( '%s', SUBSTR(DATE_NK,8,4) || '-' ||
	CASE SUBSTR(DATE_NK,4,3)
	WHEN 'Jan' THEN '01' WHEN 'Feb' THEN '02' WHEN 'Mar' THEN '03' WHEN 'Apr' THEN '04' WHEN 'May' THEN '05' WHEN 'Jun' THEN '06'
	WHEN 'Jul' THEN '07' WHEN 'Aug' THEN '08' WHEN 'Sep' THEN '09' WHEN 'Oct' THEN '10' WHEN 'Nov' THEN '11'
	ELSE '12' END || '-' || SUBSTR(DATE_NK,1,2) || ' ' || SUBSTR(TIME_NK,1,8) ) AS EVENT_DT,
REQUEST_NK, DOMAIN
FROM STG_BIND9_LOG )
SELECT
  1 as 'Table: First DNS Requests at 06:00',
  REQUEST_NK AS 'Request',
  DOMAIN AS 'Domain',
  REQ AS 'Requests',
  DAYS AS 'Active Days',
  strftime('%H:%M', datetime(MIN_DT, 'unixepoch')) AS 'First Ping',
  strftime('%H:%M', datetime(MAX_DT, 'unixepoch')) AS 'Last Ping'
FROM (
SELECT
  REQUEST_NK, MAX(DOMAIN) AS DOMAIN,
  MIN(EVENT_DT) AS MIN_DT,
  MAX(EVENT_DT) AS MAX_DT,
  COUNT(DISTINCT strftime('%d.%m', datetime(EVENT_DT, 'unixepoch'))) AS DAYS,
  ROUND(1.0*SUM(1)/COUNT(DISTINCT strftime('%d.%m', datetime(EVENT_DT, 'unixepoch'))), 1) AS REQ
FROM CLS
WHERE DOMAIN NOT IN ('in-addr.arpa', 'IN-ADDR.ARPA', 'local', 'dyndns', 'nas', 'ntp.org')
  AND datetime(EVENT_DT, 'unixepoch') > date('now', '-20 days')
  AND strftime('%H', datetime(EVENT_DT, 'unixepoch')) = strftime('%H', '2019-08-01 06:50:00')
GROUP BY REQUEST_NK
 )
WHERE DAYS > 3 -- at least 4 days activity
ORDER BY 5 DESC, 4 DESC

Firefox ກວດເບິ່ງການເຊື່ອມຕໍ່ WLAN ສໍາລັບການມີຫນ້າເຂົ້າສູ່ລະບົບ.
Citrix ກໍາລັງ pinging ເຄື່ອງແມ່ຂ່າຍຂອງຕົນເຖິງແມ່ນວ່າຄໍາຮ້ອງສະຫມັກບໍ່ໄດ້ດໍາເນີນການຢ່າງຫ້າວຫັນ.
Symantec ຢັ້ງຢືນໃບຢັ້ງຢືນ.
Mozilla ກວດເບິ່ງການປັບປຸງ, ເຖິງແມ່ນວ່າຢູ່ໃນການຕັ້ງຄ່າຂ້ອຍໄດ້ຂໍໃຫ້ບໍ່ເຮັດສິ່ງນີ້.

mmo.de ເປັນບໍລິການເກມ. ສ່ວນຫຼາຍອາດຈະເປັນການຮ້ອງຂໍເລີ່ມຕົ້ນໂດຍການແຊັດ facebook. ພວກເຮົາຕັນ.

Apple ຈະເປີດໃຊ້ບໍລິການທັງຫມົດຂອງຕົນ. api-glb-fra.smoot.apple.com - ການຕັດສິນໂດຍຄໍາອະທິບາຍ, ທຸກໆການຄລິກປຸ່ມຖືກສົ່ງຢູ່ທີ່ນີ້ເພື່ອຈຸດປະສົງການເພີ່ມປະສິດທິພາບຂອງເຄື່ອງຈັກຊອກຫາ. ມີຄວາມສົງໃສສູງ, ແຕ່ກ່ຽວຂ້ອງກັບການເຮັດວຽກ. ພວກເຮົາອອກຈາກມັນ.

ຕໍ່ໄປນີ້ແມ່ນບັນຊີລາຍຊື່ຍາວຂອງການຮ້ອງຂໍກັບ microsoft.com. ພວກເຮົາສະກັດໂດເມນທັງຫມົດເລີ່ມຕົ້ນຈາກລະດັບທີສາມ.

ຈໍານວນໂດເມນຍ່ອຍທໍາອິດຫຼາຍ


ດັ່ງນັ້ນ, 10 ນາທີທໍາອິດຂອງການເປີດອິນເຕີເນັດໄຮ້ສາຍ.
iOS polls ໂດເມນຍ່ອຍຫຼາຍທີ່ສຸດ - 32. ຕິດຕາມດ້ວຍ Android - 24, ຫຼັງຈາກນັ້ນ Windows - 15 ແລະສຸດທ້າຍ Blackberry - 9.
ແອັບພລິເຄຊັ່ນ facebook ດຽວສຳຫຼວດ 10 ໂດເມນ, skype polls 9 ໂດເມນ.

ແຫຼ່ງຂໍ້ມູນຂ່າວສານ

ແຫຼ່ງຂໍ້ມູນສໍາລັບການວິເຄາະແມ່ນໄຟລ໌ບັນທຶກເຄື່ອງແມ່ຂ່າຍທ້ອງຖິ່ນ bind9, ເຊິ່ງປະກອບດ້ວຍຮູບແບບດັ່ງຕໍ່ໄປນີ້:

01-Aug-2019 20:03:30.996 client 192.168.0.2#40693 (api.aps.skype.com): query: api.aps.skype.com IN A + (192.168.0.102)

ໄຟລ໌ໄດ້ຖືກນໍາເຂົ້າເຂົ້າໄປໃນຖານຂໍ້ມູນ sqlite ແລະວິເຄາະໂດຍໃຊ້ SQL queries.
ເຊີບເວີເຮັດໜ້າທີ່ເປັນແຄດ; ຄຳຮ້ອງຂໍມາຈາກເຣົາເຕີ, ສະນັ້ນມີລູກຄ້າຄຳຮ້ອງຂໍອັນໜຶ່ງຢູ່ສະເໝີ. ໂຄງສ້າງຕາຕະລາງທີ່ງ່າຍດາຍແມ່ນພຽງພໍ, i.e. ບົດລາຍງານຕ້ອງການເວລາຂອງການຮ້ອງຂໍ, ການຮ້ອງຂໍຕົວມັນເອງ, ແລະໂດເມນລະດັບທີສອງສໍາລັບການຈັດກຸ່ມ.

ຕາຕະລາງ DDL

CREATE TABLE STG_BIND9_LOG (
  LINE_NK       INTEGER NOT NULL DEFAULT 1,
  DATE_NK       TEXT NOT NULL DEFAULT 'n.a.',
  TIME_NK       TEXT NOT NULL DEFAULT 'n.a.',
  CLI           TEXT, -- client
  IP            TEXT,
  REQUEST_NK    TEXT NOT NULL DEFAULT 'n.a.', -- requested domain
  DOMAIN        TEXT NOT NULL DEFAULT 'n.a.', -- domain second level
  QUERY         TEXT,
  UNIQUE (LINE_NK, DATE_NK, TIME_NK, REQUEST_NK)
);

ສະຫລຸບ

ດັ່ງນັ້ນ, ເປັນຜົນມາຈາກການວິເຄາະບັນທຶກຂອງເຄື່ອງແມ່ຂ່າຍຊື່ໂດເມນ, ຫຼາຍກວ່າ 50 ບັນທຶກໄດ້ຖືກ censored ແລະວາງໄວ້ໃນບັນຊີລາຍຊື່ຂອງຕັນ.

ຄວາມຈໍາເປັນຂອງການສອບຖາມບາງຢ່າງຖືກອະທິບາຍໄດ້ດີໂດຍຜູ້ຜະລິດຊອບແວແລະສ້າງຄວາມຫມັ້ນໃຈ. ຢ່າງໃດກໍຕາມ, ກິດຈະກໍາຫຼາຍແມ່ນບໍ່ມີພື້ນຖານແລະມີຄໍາຖາມ.

ແຫຼ່ງຂໍ້ມູນ: www.habr.com