kukumumu 3 сен 2014 в 17:10

Хосты-однодневки в DNS

3 мин

19K

Информационная безопасность*

+20

Комментарии 16

Sabin 3 сен 2014 в 17:32

Речь идёт о доменах третьего уровня, ничего странного. Упомянутый Яндекс.DNS предлагает как один из вариантов подтверждения владения доменом добавить специально сгенерированный cname, многие сервисы создают субдомен на основе имени пользователя. Интересно было бы увидеть статистику по доменам второго уровня.

kukumumu 3 сен 2014 в 17:48

Раздельной статистики по доменам разного уровня, увы, нет.

Да, многие предлагают схему подтверждения через создание субдомена, но не думаю, что количество таких доменов могло серьезно повлиять на статистику. Речь ведь о сотнях миллионов уникальных доменов, обнаруженных за 3 месяца.

P.S.: Кстати, говоря про Яндекс.DNS, я подразумевал не DNS-хостинг от Яндекса, а Яндекс.DNS — публичный рекурсивный DNS-сервис.

ivlis 3 сен 2014 в 18:10

Какая-то желтизна. У меня при коннекте к vpn серверу этот сервер прописывает внутренний ip адрес клиента в виде %client-name%.my-vpn.domain в DNS запись. И делает это по сто раз на дню. И что из этого?

kukumumu 3 сен 2014 в 20:58

В этом случае такая запись появилась бы в ловушке сто раз за день (и много раз больше за 3 месяца) и никак не могла бы считаться однодневкой.
Но я понял Вашу идею. Думаю, что количество редко подключающихся VPN-пользователей не настолько велико, чтобы дать существенную погрешность в измерениях. В отчете речь идет о сотнях миллионов таких имен.

lexore 3 сен 2014 в 19:05

Секрет статьи в *.gstatic.com.
С появлением звездочки в конфигах ~~BIND9~~ DNS серверов, домены 3 и более уровней — это область не DNS, а скорее виртуальных хостов WEB сервера.

The_Electronic_Cat 3 сен 2014 в 19:10

В нем создается около 70% таких доменов, что в 2.5 раза больше, чем во всех остальных, вместе взятых.

Большое вам человеческое спасибо :)

ArjLover 3 сен 2014 в 19:11

Мне кажется в статье немного некорректно смешано понятия хоста и субдомена. А название так вообще желтое получилось.

kukumumu 3 сен 2014 в 20:51

Перечитал еще раз — да, Вы правы в части смешения понятий. Постарался исправить. Заодно и название поправил, хотя тут я с самого начала старался сделать его нейтральным, без желтизны. Наверное, плохо получилось :)

merlin-vrn 3 сен 2014 в 21:39

Интересно, как много среди всего этого занимает трафик таких странных штук, как DNS-тоннели? Вообще заметно хотя бы немного?

karkarramba 4 сен 2014 в 10:47

Скорее всего исчезающе мало, так как продукт довольно нишевый и сильно зависит от особенностей предоставления доступа к интернетам. Опять же скорости там совсем никакие. Одно время в Китае находились конторы, пытающиеся продавать такую услугу, но с ними начали активно бороться, чем дело закончилось — не знаю.

woddy 3 сен 2014 в 22:48

А кто-нибудь знает как этот шпионский зоопарк забанить? К сожалению hosts в винде не позволяет использовать маски :( Только свой ДНС поднимать?

rhamdeew 4 сен 2014 в 00:02

Можно воспользоваться сторонними DNS-сервисами и там уже настраивать блокировки. Это если нет желания самому где то на стороне поднимать.

foxmuldercp 4 сен 2014 в 00:12

а что Вы пытаетесь забанить то?
Превентивно всё подряд?
любое жействие должно быть чем-то обосновано, например аналитикой журналов работы системы/ssh/web/sql/ftp/mail серверов.
На основании этого уэе можно генерировать какие-то правила, как в fail2ban, например