众所周知，当今的恶意***大多受利益驱动，劫持合法网络资源发动***。其中一个重要途径，就是利用域名服务（DNS）将网络用户导引到恶意网站并将他们纳入***行动的节点。
DNS对***的意义有三：
1. 传输命令与控制指令
2. 偷渡数据
3. 重定向流量
但由于极少有公司会出于安全目的监测DNS状态，DNS如今已成为***者理想的***手段。
在DNS层实施安全防御，可以有效检测和控制此类恶意软件感染。在恶意连接建立之前将威胁扼杀在摇篮里是做好安全的第一要务。要做到这一点，就必须监控网络，跟踪员工及其使用设备的网络位置和接入方式。
恶意IP跟踪，以及恶意基础设施连接阻断技术，可以挫败***者利用这一常见安全盲点的企图。危险连接阻断得越多，我们需要应对的内部网络威胁就越少。而且，即使网络被成功突破，DNS监测也可以帮助连接各个节点，确定***所用基础设施的类型和源头，深化调查取证。
以Angler漏洞利用工具包为例，DNS监测技术就在调查中提供了对所用IP基础设施更好的可见性。Angler操作者以线性跳转方式不停转换IP地址，隐藏他们的威胁行为，防止外界对他们的不法捞钱行为进行干预。但通过对与其关联的域名行为进行监测分析，我们对他们所用的技术有了更深入的了解，也就知晓了如何阻止他们。
随着***者不断创新***技战术，比如结合直连命令与控制来绕过域名解析等，防御者也在发展自己的新技术来更快地识别和响应这些***。
基于IP的预测性威胁情报便是防御新技术的一种。这种技术应用算法分析流量模式，关注并检测恶意活动，而不是对内容进行扫描。这种基于数据科学的新技术与Pandora的音乐服务所用的技术如出一辙。但与使用当前在听的声波模式来推断你可能喜欢的其他音乐不同，这种新技术采用网络流量模式来识别恶意***。
有些域名一直保持很大的入站流量，其他域名可能在某几个特定时段会出现流量高峰，又或者，还有其他完全不同的模式。但被用来实施***的域名，一般情况下流量模式都是瞬发性的，流量出现时间更短，也更快。毕竟，作为见不得光的行为，还得保持低调隐蔽。若能发现并将这些状态模式与其他数据进行交叉对比，则有助于快速检测出正在进行中的***行为并采取行动予以遏制。
而预测***的能力则又将此数据分析拉升到了更高的层级。从分析流量模式得出的线索开始，网络罪犯在劫持基础设施过程中所用到的每一步，都在***预测中有用到。比如：托管主机提供商的选择、服务器镜像的部署等等。对托管基础设施更深更全面的分析将使你拥有预测并防止突发威胁的能力。
因为网络罪犯利用互联网发动***，我们便需要对DNS基础设施和IP网络上正在发生的事拥有更清晰的视野。这就要求安全团队和DNS专家采用合适的技术通力合作。无论如何，连接更多的节点并不断修正威胁情报是能够更快识别并阻止网络***的。
***者总在持续地改进***方法，因此我们也需要不断提高数据分析技术，以在***发生之前将其锁定。
标签：IP,网络,流量,恶意,技术,DNS,监测 来源： https://blog.51cto.com/u_15127683/2833674
本站声明： 1. iCode9 技术分享网（下文简称本站）提供的所有内容，仅供技术学习、探讨和分享； 2. 关于本站的所有留言、评论、转载及引用，纯属内容发起人的个人观点，与本站观点和立场无关； 3. 关于本站的所有言论和文字，纯属内容发起人的个人观点，与本站观点和立场无关； 4. 本站文章均是网友提供，不完全保证技术分享内容的完整性、准确性、时效性、风险性和版权归属；如您发现该文章侵犯了您的权益，可联系我们第一时间进行删除； 5. 本站为非盈利性的个人网站，所有内容不会用来进行牟利，也不会利用任何形式的广告来间接获益，纯粹是为了广大技术爱好者提供技术内容和技术思想的分享性交流网站。