DNS y HTTP en Zeek

2 tareas · 40 min · Principiante

0 de 2 · 0%

Zeek analiza los protocolos de aplicación descomponiéndolos en registros especializados (dns.log, http.log). En dns.log se auditan las consultas (query), tipos (qtype_name), códigos de respuesta (rcode) y direcciones IP resueltas (answers). La correlación por uid permite asociar la consulta DNS exacta que precedió a una conexión TCP sospechosa.

Responde para continuar

¿Cómo vincula un analista de caza un registro de dns.log con su correspondiente sesión de transporte en conn.log?

Revisando exclusivamente la dirección MAC física del enrutador perimetral Utilizando el identificador único de conexión (uid) generado uniformemente por Zeek Adivinando la hora exacta en microsegundos sin comprobar ningún otro campo Asumiendo que toda consulta DNS proviene siempre del puerto de origen 53

Ver pista de ayuda

El campo uid unifica todos los logs de protocolos generados durante una misma sesión en Zeek.

Localiza en la tabla zeek_dns la consulta cuyo resultado (answers) resolvió en la dirección IP 198.51.100.89.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

¿Cuál fue el nombre de dominio consultado (query) que resolvió en 198.51.100.89?

Ver pista de ayuda

Observa la primera fila de la tabla zeek_dns.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Consola de Análisis de Tráfico de Red · Zeek Logs & Suricata EVE

Zeek Network Security Monitor / Suricata IDS Engine

Tablas

zeek_conn

uid
orig_h
orig_p
resp_h
resp_p
proto
duration
orig_bytes
resp_bytes
conn_state

zeek_dns

uid
orig_h
resp_h
query
qtype_name
answers

zeek_ssl

uid
orig_h
resp_h
server_name
ja3
ja4

suricata_alerts

timestamp
src_ip
dest_ip
signature
severity
action

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Supervisión transaccional en capas de aplicación

2 Dominio consultado hacia la IP 198.51.100.89 Lab

Whoami-Labs Pro utiliza cookies