مقدمه

DNS یکی از سرویس‌های پایه در شبکه است که وظیفه تبدیل نام دامنه به IP Address را برعهده دارد.

تقریباً هر سرویس و برنامه‌ای روی یک سرور برای برقراری ارتباط با اینترنت یا سرویس‌های داخلی، از DNS استفاده می‌کند.

برای مثال:

curl https://example.com

ابتدا نیاز دارد:

example.com
        |
        v
DNS Query
        |
        v
IP Address

اما DNS فقط برای فعالیت‌های عادی استفاده نمی‌شود.

در بسیاری از حملات، مهاجم یا Malware از DNS برای مواردی مانند:

• ارتباط با Command & Control Server
• انتقال مخفی داده‌ها
• شناسایی زیرساخت شبکه
• Domain Generation Algorithm
• ارتباط با دامنه‌های مخرب

استفاده می‌کند.

به همین دلیل بررسی DNS Requestهای خروجی از Server می‌تواند یکی از روش‌های مهم در Threat Hunting و Incident Response باشد.

در این مقاله بررسی می‌کنیم:

• DNS Queryها چگونه ثبت می‌شوند.
• چگونه Requestهای غیرعادی را پیدا کنیم.
• چگونه Domainهای مشکوک را تحلیل کنیم.
• چگونه DNS Tunneling را شناسایی کنیم.
• چگونه Process ایجادکننده Query را پیدا کنیم.

DNS Request چیست؟

زمانی که یک سیستم درخواست تبدیل Domain به IP ارسال می‌کند، یک DNS Query ایجاد می‌شود.

مثال:

Client
 |
 | DNS Query
 |
 v
example.com
 |
 | Response
 |
 v
93.184.216.34

انواع رایج Query:

A       IPv4 Address
AAAA    IPv6 Address
MX      Mail Server
TXT     Text Record
CNAME   Alias
NS      Name Server

چرا DNS Requestها اهمیت امنیتی دارند؟

بسیاری از ارتباطات مخرب از DNS شروع می‌شوند.

مثلاً:

Malware
   |
   v
DNS Query
   |
   v
evil-domain.com
   |
   v
C2 Server

یا:

Sensitive Data
       |
       v
Encoded DNS Query
       |
       v
Attacker DNS Server

این روش به دلیل اینکه DNS معمولاً در شبکه‌ها مجاز است، گاهی برای عبور از محدودیت‌ها استفاده می‌شود.

محل مشاهده DNS Request در لینوکس

محل ثبت DNS بستگی به سیستم دارد.

منابع رایج:

systemd-resolved
BIND
dnsmasq
unbound
tcpdump
audit
firewall logs
network monitoring

بررسی DNS Resolver سیستم

ابتدا DNS Server مورد استفاده را بررسی کنید.

cat /etc/resolv.conf

نمونه:

nameserver 8.8.8.8
nameserver 1.1.1.1

یا:

resolvectl status

در سیستم‌هایی که از systemd-resolved استفاده می‌کنند.

مشاهده DNS Query با journalctl

اگر systemd-resolved فعال باشد:

journalctl -u systemd-resolved

برای جستجوی DNS:

journalctl -u systemd-resolved | grep DNS

در برخی سیستم‌ها:

resolvectl statistics

نیز اطلاعات Resolver را نمایش می‌دهد.

بررسی DNS با tcpdump

یکی از سریع‌ترین روش‌ها برای مشاهده DNS Traffic:

tcpdump -i any port 53

نمونه:

IP 192.168.1.10.45122 > 8.8.8.8.53:
A? example.com

اطلاعات مهم:

Source IP
Destination DNS Server
Query Name
Query Type

ذخیره DNS Traffic برای تحلیل

برای ذخیره Capture:

tcpdump -i any port 53 -w dns.pcap

سپس فایل:

dns.pcap

را می‌توان با ابزارهایی مانند Wireshark تحلیل کرد.

مشاهده DNS Requestهای یک Interface خاص

مثلاً:

tcpdump -i eth0 port 53

فقط روی Interface:

eth0

بررسی می‌کند.

فقط Queryهای DNS را نمایش دهیم

tcpdump -i any -nn port 53

گزینه:

-nn

باعث می‌شود Reverse DNS انجام نشود و خروجی سریع‌تر باشد.

بررسی DNS Queryهای خروجی با Wireshark

در Wireshark:

Filter:

dns

یا:

dns.qry.name

برای مشاهده Domainهای درخواست‌شده.

برای Queryهای خاص:

dns.qry.type == 1

برای A Record.

نشانه‌های DNS Request مشکوک

DNS Request مشکوک معمولاً یکی از این ویژگی‌ها را دارد:

• Domainهای ناشناخته
• تعداد زیاد Subdomain
• نام‌های بسیار طولانی
• Random String
• Queryهای زیاد به یک Domain
• استفاده غیرعادی از TXT Record
• ارتباط با Domainهای تازه ثبت‌شده
• Queryهای خارج از الگوی کاری Server

Domainهای طولانی و تصادفی

نمونه عادی:

api.example.com

نمونه مشکوک:

a8d92jd83jd92jd83jd92.evil-domain.com

این الگو ممکن است مربوط به:

• Tracking
• Malware
• DNS Tunneling

باشد.

پیدا کردن Domainهای پرتکرار

اگر DNS Log دارید:

مثلاً:

grep "query" /var/log/dns.log

سپس:

awk '{print $NF}' dns.log |
sort |
uniq -c |
sort -nr |
head

نمونه:

4500 api.google.com
3200 update.server.com
2800 x8d92jd82.com

Domain سوم نیاز به بررسی دارد.

بررسی تعداد Subdomainها

DNS Tunneling معمولاً تعداد زیادی Subdomain تولید می‌کند.

مثال:

abc123.example.com
def456.example.com
ghi789.example.com

بررسی:

grep "example.com" dns.log |
awk '{print $NF}' |
sort -u |
wc -l

اگر یک Domain صدها یا هزاران Subdomain مختلف دارد، باید بررسی شود.

DNS Tunneling چیست؟

DNS Tunneling روشی است که در آن داده داخل DNS Query قرار داده می‌شود.

مثال:

Data
 |
Encode
 |
DNS Query
 |
attacker.com

نمونه:

aGVsbG93b3JsZA.attacker.com

قسمت اول ممکن است داده Encode شده باشد.

نشانه‌های DNS Tunneling

موارد مشکوک:

• Queryهای بسیار زیاد
• Subdomainهای طولانی
• رشته‌های تصادفی
• تعداد زیاد TXT Query
• یک Domain با هزاران Query
• ارتباط یک Server با Domain ناشناس

بررسی TXT Queryها

TXT Record در برخی حملات استفاده می‌شود.

مشاهده:

tcpdump -i any port 53

یا در Wireshark:

dns.qry.type == 16

نوع:

TXT

را بررسی کنید.

بررسی Domainهای NXDOMAIN

NXDOMAIN یعنی Domain وجود ندارد.

تعداد زیاد NXDOMAIN می‌تواند نشانه:

• اشتباه Configuration
• Malware
• Domain Generation Algorithm

باشد.

در DNS Serverها:

Query
 |
 v
Non Existing Domain
 |
 v
NXDOMAIN

Domain Generation Algorithm چیست؟

برخی Malwareها به جای استفاده از یک Domain ثابت، روزانه تعداد زیادی Domain تولید می‌کنند.

مثال:

abc123.com
def456.com
xyz789.com

فقط یکی از آنها ممکن است فعال باشد.

نشانه‌ها:

• تعداد زیاد Domainهای تصادفی
• Queryهای زیاد
• Failure زیاد DNS

بررسی DNS Cache

در سیستم‌های Linux:

resolvectl statistics

نمونه:

Cache Hits
Cache Misses

این اطلاعات برای Troubleshooting مفید است اما برای Threat Hunting کافی نیست.

پیدا کردن Process ایجادکننده DNS Request

یکی از مهم‌ترین مراحل:

کدام Process این Query را ایجاد کرده است؟

ابتدا Connectionها:

ss -tunap

یا:

lsof -i :53

اما DNS معمولاً از Resolver Local عبور می‌کند.

برای مشاهده دقیق‌تر:

auditd
ebpf
sysmon for linux
network monitoring

استفاده می‌شود.

بررسی Processهای شبکه‌ای

lsof -i

نمونه:

nginx
python
curl
unknown-process

اگر Process ناشناخته Connection ایجاد کرده باشد، نیاز به بررسی دارد.

بررسی Connectionهای فعال

ss -plant

نمونه:

ESTAB
python3
203.0.113.50:443

Processهای ناشناس را بررسی کنید.

بررسی DNS در سرورهای BIND

اگر Server شما DNS Server است:

لاگ‌ها ممکن است در:

/var/log/named/

باشند.

فعال‌سازی Query Logging:

rndc querylog

بررسی:

tail -f /var/log/messages

بررسی DNS Query در Bind

نمونه:

client 192.168.1.20#1234:
query: example.com IN A

اطلاعات:

Client IP
Domain
Record Type

بررسی DNS در Windows Server

در Windows DNS Server:

مسیر:

DNS Manager
 |
 Event Viewer
 |
 Applications and Services Logs
 |
 Microsoft
 |
 Windows
 |
 DNS Server

همچنین:

Get-DnsServerQueryResolution

برای محیط‌های Windows Server DNS استفاده می‌شود.

تحلیل DNS با Zeek

برای محیط‌های بزرگ، Zeek می‌تواند DNS Log تولید کند.

فایل:

dns.log

اطلاعات:

query
answers
client
server
rcode

نمونه:

query=example.com
rcode=NOERROR

بررسی DNS با Suricata

Suricata می‌تواند DNS Traffic را با Ruleهای IDS بررسی کند.

فایل‌های مهم:

eve.json
fast.log

جستجو:

grep dns eve.json

بررسی Domain Reputation

بعد از پیدا کردن Domain مشکوک:

موارد زیر بررسی شوند:

• تاریخ ثبت Domain
• Reputation
• IPهای مرتبط
• Certificate
• Malware Reports

ابزارهای عمومی:

VirusTotal
URLScan
AbuseIPDB
WHOIS

بررسی WHOIS Domain

برای Domain:

whois example.com

اطلاعات:

Registrar
Creation Date
Name Server
Registrant

می‌تواند در تحلیل کمک کند.

بررسی DNS Requestهای یک Process خاص

اگر Process مشخص است:

strace -e trace=network PROCESS

یا:

tcpdump
+
Process Analysis

استفاده می‌شود.

محدود کردن DNS خروجی

یکی از روش‌های Hardening:

اجازه DNS فقط به Resolverهای مشخص.

مثلاً:

Server
 |
 only allowed DNS Resolver
 |
 Internet

در Firewall:

Allow UDP 53
to approved DNS servers

جلوگیری از DNS Tunneling

اقدامات:

• استفاده از DNS Filtering
• Logging کامل DNS
• مانیتورینگ حجم Query
• محدود کردن TXT Query در صورت نیاز
• استفاده از Resolver سازمانی
• تحلیل Domain Reputation

Workflow عملی شناسایی DNS Request مشکوک

مرحله اول: مشاهده Traffic

tcpdump -i any port 53

مرحله دوم: ذخیره Capture

tcpdump -i any port 53 -w dns.pcap

مرحله سوم: استخراج Domainها

از DNS Log:

awk '{print $NF}' dns.log |
sort |
uniq -c |
sort -nr

مرحله چهارم: بررسی Domainهای پرتکرار

بررسی:

• تعداد Query
• تعداد Subdomain
• Reputation

مرحله پنجم: بررسی TXT Query

dns.qry.type == 16

مرحله ششم: بررسی NXDOMAIN

بررسی تعداد:

NXDOMAIN

مرحله هفتم: پیدا کردن Process

ss -tunap

مرحله هشتم: Timeline سازی

مقایسه:

DNS Query Time
+
Process Start Time
+
Network Connection

یک Audit سریع DNS

echo "=== DNS CONNECTIONS ==="

tcpdump -i any -nn port 53 -c 50


echo
echo "=== ACTIVE NETWORK PROCESSES ==="

ss -tunap


echo
echo "=== DNS CONFIGURATION ==="

cat /etc/resolv.conf

اشتباهات رایج

• نادیده گرفتن DNS Traffic خروجی
• بررسی نکردن Domainهای ناشناس
• اعتماد کامل به DNS Cache
• بررسی نکردن TXT Queryها
• توجه نکردن به Domainهای طولانی
• بررسی نکردن NXDOMAIN
• نداشتن DNS Logging
• محدود نکردن Resolverها
• بررسی نکردن Process ایجادکننده Query
• Block کردن Domain بدون تحلیل علت

بهترین روش‌ها

برای مدیریت امن DNS در Server:

• DNS Queryها را Log کنید.
• Resolverهای معتبر استفاده کنید.
• DNS Traffic خروجی را مانیتور کنید.
• Domainهای ناشناس را بررسی کنید.
• TXT Queryهای غیرعادی را بررسی کنید.
• DNS Tunneling Patternها را مانیتور کنید.
• از DNS Filtering استفاده کنید.
• سرورهای حساس را به Resolver داخلی متصل کنید.
• Logها را به SIEM ارسال کنید.
• Timeline فعالیت‌های مشکوک را ایجاد کنید.

چک‌لیست

برای شناسایی DNS Requestهای مشکوک:

• DNS Resolver بررسی شده است.
• DNS Traffic Capture شده است.
• DNS Logها بررسی شده‌اند.
• Domainهای پرتکرار استخراج شده‌اند.
• Domainهای ناشناس بررسی شده‌اند.
• Subdomainهای زیاد بررسی شده‌اند.
• Queryهای طولانی بررسی شده‌اند.
• TXT Queryها بررسی شده‌اند.
• NXDOMAIN بررسی شده است.
• Domain Reputation بررسی شده است.
• Process ایجادکننده Query مشخص شده است.
• Connectionهای فعال بررسی شده‌اند.
• DNS Server Logها بررسی شده‌اند.
• Firewall DNS بررسی شده است.
• DNS Filtering بررسی شده است.
• Timeline ساخته شده است.

مطالعات بیشتر

MITRE ATT&CK – Application Layer Protocol: DNS (T1071.004)
مرجع رسمی استفاده از DNS برای ارتباطات شبکه‌ای و C2.
https://attack.mitre.org/techniques/T1071/004/?utm_source=maral.cloud

MITRE ATT&CK – DNS Tunneling (T1572 Protocol Tunneling)
مرجع تحلیل استفاده از Tunnel برای عبور داده از پروتکل‌های مجاز.
https://attack.mitre.org/techniques/T1572/?utm_source=maral.cloud

ISC BIND Documentation
مستندات رسمی DNS Server محبوب BIND.
https://bind9.readthedocs.io/?utm_source=maral.cloud

Wireshark DNS Analysis
مستندات رسمی تحلیل Packetهای DNS در Wireshark.
https://www.wireshark.org/docs/?utm_source=maral.cloud

Zeek Documentation
مستندات رسمی Network Security Monitoring و DNS Logging.
https://docs.zeek.org/?utm_source=maral.cloud

جمع‌بندی

DNS یکی از مهم‌ترین منابع برای شناسایی رفتارهای غیرعادی در شبکه است، زیرا تقریباً تمام سیستم‌ها برای ارتباط با سرویس‌های خارجی از آن استفاده می‌کنند.

صرف مشاهده یک DNS Request به یک Domain ناشناس به معنی حمله نیست، اما ترکیب چند نشانه می‌تواند یک فعالیت مشکوک را مشخص کند:

Unknown Domain
+
High Query Volume
+
Random Subdomain
+
TXT Query
+
NXDOMAIN Spike
+
Unknown Process

برای تحلیل DNS Requestها ابتدا باید بدانیم:

• چه Domainهایی درخواست شده‌اند.
• کدام سیستم یا Process این درخواست را ایجاد کرده است.
• چه تعداد Query ایجاد شده است.
• آیا الگوی رفتاری با فعالیت عادی Server هماهنگ است یا خیر.

ابزارهایی مانند:

tcpdump
journalctl
Wireshark
Zeek
Suricata
DNS Logs

به مدیران سیستم و تیم‌های امنیتی کمک می‌کنند تا DNS Traffic را بررسی و رفتارهای غیرعادی مانند DNS Tunneling یا ارتباط با زیرساخت‌های مخرب را شناسایی کنند.

امنیت DNS فقط با Block کردن چند Domain ایجاد نمی‌شود؛ بلکه نیازمند Logging، Monitoring، تحلیل رفتار و Correlation با سایر Eventهای امنیتی است.

کیان پور