DNS Analytics — это наблюдение (сбор и анализ) трафика DNS в компьютерной сети . Такой анализ трафика DNS имеет важное применение в информационной безопасности и компьютерной криминалистике , в первую очередь при выявлении внутренних угроз , вредоносных программ , кибероружия и кампаний с передовыми постоянными угрозами (APT) в компьютерных сетях.
Поскольку процессы и взаимодействия DNS Analytics включают в себя коммуникации между DNS-клиентами и DNS-серверами во время разрешения DNS-запросов и обновлений, они могут включать такие задачи, как регистрация запросов, исторический мониторинг по узлам, табулирование количества запросов и расчеты на основе запросов сетевого трафика . Хотя основным драйвером DNS Analytics является безопасность, описанная ниже, другой мотивацией является понимание трафика сети, чтобы можно было оценить его для улучшения или оптимизации. Например, DNS Analytics можно использовать для сбора данных в лаборатории, где выполняется большое количество связанных запросов на обновления программного обеспечения ПК . Обнаружив это, можно установить локальный сервер обновлений для улучшения сети.
Исследования в открытом доступе показывают, что спонсируемые государством вредоносные программы и APT-кампании демонстрируют DNS- индикаторы компрометации (IOC). С июня 2010 года анализ платформ и агентов кибероружия проводился лабораториями, включая Kaspersky Lab , ESET , Symantec , McAfee , Norman Safeground и Mandiant . Результаты, опубликованные этими организациями, включают подробный анализ Stuxnet , [1] Flame , [2] Hidden Lynx, [3] Operation Troy, [4] The NetTraveler, [5] Operation Hangover, [6] Mandiant APT1 , [7] и Careto. [8] Эти вредоносные программы и APT- кампании можно надежно идентифицировать в компьютерных сетях с помощью инструментов аналитики DNS.