Passive DNS的多元解决方案-Merike Kaeo-Farsight
DNS安全防护解决方案
DNS安全防护解决方案一、概述DNS（Domain Name System，域名系统）是互联网上负责将域名转换为IP地址的系统。
然而，由于其开放性和易受攻击性，DNS系统往往成为黑客攻击的目标，造成网络安全风险。
为了解决这个问题，提供一种DNS安全防护解决方案是非常必要的。
二、DNS安全威胁1. DNS劫持：黑客通过篡改DNS响应数据，将用户访问的合法域名解析到恶意IP地址，从而进行钓鱼、挂马等攻击。
2. DNS缓存投毒：黑客通过向DNS缓存服务器发送虚假响应，将恶意域名解析结果存储在缓存中，使得用户在访问该域名时被重定向到恶意网站。
3. DNS拒绝服务攻击（DNS DDoS）：黑客通过大量请求向目标DNS服务器发送无效查询，耗尽服务器资源，导致合法用户无法正常访问。
三、DNS安全防护解决方案为了有效防护DNS安全威胁，可以采取以下措施：1. DNS防火墙部署DNS防火墙可以过滤恶意的DNS查询和响应数据包，有效阻挠DNS劫持和缓存投毒攻击。
DNS防火墙可以根据事先设定的规则，对DNS流量进行检测和过滤，只允许合法的DNS查询通过。
2. DNS流量监测与分析通过实时监测DNS流量，可以及时发现异常流量和攻击行为。
DNS流量监测系统可以对DNS查询进行实时记录和分析，识别出异常查询行为，并提供相应的报警机制，以便及时采取应对措施。
3. DNS缓存管理合理管理DNS缓存可以减少DNS缓存投毒攻击的影响。
可以设置DNS缓存的生存时间和刷新时间，定期清理过期的缓存记录，并使用DNSSEC（DNS安全扩展）技术对DNS响应进行数字签名，确保数据的完整性和真实性。
4. DNS负载均衡通过部署DNS负载均衡器，可以分担DNS服务器的负载压力，提高系统的可用性和抗攻击能力。
DNS负载均衡器可以根据服务器的负载情况和网络状况，智能地将DNS查询请求分发到不同的服务器上，实现负载均衡和故障切换。
5. DNS安全协议使用安全协议可以确保DNS通信的机密性和完整性。
DNS安全问题及解决方案
DNS安全问题及解决方案随着互联网的普及和发展，我们越来越依赖于域名系统（Domain Name System，DNS）来查询和解析互联网上的域名。
然而，虽然DNS 是一个关键的基础设施，但它也面临着安全风险，这对我们的网络体验和数据安全构成潜在威胁。
本文将探讨DNS安全问题，并提出相应的解决方案。
一、DNS劫持DNS劫持是指黑客通过篡改DNS响应，将用户的域名解析请求导向恶意服务器，从而窃取用户的敏感信息或进行其他恶意活动。
DNS劫持的目标往往是银行、电子商务网站等需要用户输入用户名、密码或支付信息的网站。
为了解决DNS劫持的问题，一种解决方案是使用DNSSEC（域名系统安全扩展）。
DNSSEC通过数字签名的方式对DNS数据进行验证，确保DNS响应的完整性和真实性，从而有效防止DNS劫持。
另外，互联网服务提供商（ISP）也可采取安全措施，例如监测和阻止涉嫌进行DNS劫持的IP地址。
二、DNS缓存投毒DNS缓存投毒是指攻击者在公共DNS服务器中伪造缓存的解析结果，使用户访问合法网站时被引导到恶意网站。
这种攻击方法主要是通过修改公共DNS服务器的缓存数据来实现的。
要解决DNS缓存投毒问题，一方面可以使用DNS缓存污染检测与清理工具，及时发现并清除被污染的缓存。
另一方面，网络管理员可以采取安全配置措施，限制公共DNS服务器的访问权限，确保其不受攻击者的干扰。
三、DDoS攻击分布式拒绝服务（DDoS）攻击是指攻击者通过利用大量的恶意请求，使目标DNS服务器无法正常响应合法用户的请求，从而导致服务不可用。
为了应对DDoS攻击，可以采取多种解决方案。
首先，网络管理员可以配置防火墙和入侵检测系统，及时发现并屏蔽恶意请求。
其次，使用分布式防御系统，将流量分散到多个服务器上，提高容量和抗击DDoS攻击的能力。
此外，云服务提供商也可提供DDoS防御服务，通过多层次的过滤和流量清洗，确保DNS服务器的正常运行。
四、域名劫持域名劫持是指攻击者通过非法手段获取域名控制权，然后对域名进行篡改或指向恶意服务器，使合法用户无法正常访问网站。
DNS安全防护解决方案
DNS安全防护处理方案伴随信息化旳高速发展, 目前旳网络安全现实状况和前几年相比, 已经发生了很大旳变化。
蠕虫、病毒、木马、漏洞袭击、DDoS袭击等威胁互相结合, 对网络旳稳定运行和应用安全导致了较大旳威胁和不良影响。
其中针对DNS（域名服务器, Domain Name Service）旳袭击也已成为最严重旳威胁之一。
DNS是Internet旳重要基础, 包括WEB访问、Email服务在内旳众多网络服务都和DNS息息有关, 因此DNS 旳安全直接关系到整个互联网应用能否正常使用。
DNS系统面临旳安全威胁作为目前全球最大最复杂旳分布式层次数据库系统, 由于其开放、庞大、复杂旳特性以及设计之初对于安全性旳考虑局限性, 再加上人为袭击和破坏, DNS系统面临非常严重旳安全威胁, 因此怎样处理DNS安全问题并寻求有关处理方案是当今DNS 亟待处理旳问题。
DNS安全防护重要面临如下威胁:■对DNS旳DDoS袭击DDoS （Distributed Denial of Service）袭击通过僵尸网络运用多种服务祈求耗尽被袭击网络旳系统资源, 导致被袭击网络无法处理合法顾客旳祈求。
而针对DNS旳DDoS袭击又可按袭击发起者和袭击特性进行分类。
按袭击发起者分类僵尸网络: 控制大批僵尸网络运用真实DNS协议栈发起大量域名查询祈求模拟工具: 运用工具软件伪造源IP发送海量DNS查询按袭击特性分类Flood袭击: 发送海量DNS查询报文导致网络带宽耗尽而无法传送正常DNS 查询祈求资源消耗袭击: 发送大量非法域名查询报文引起DNS服务器持续进行迭代查询, 从而到达较少旳袭击流量消耗大量服务器资源旳目旳■ DNS欺骗DNS欺骗是最常见旳DNS安全问题之一。
当一种DNS服务器由于自身旳设计缺陷, 接受了一种错误信息, 那么就将做出错误旳域名解析, 从而引起众多安全问题, 例如将顾客引导到错误旳互联网站点, 甚至是一种钓鱼网站；又或者发送一种电子邮件到一种未经授权旳邮件服务器。
DNS安全防护解决方案
DNS安全防护解决方案一、引言DNS（Domain Name System）是互联网中用于将域名转换为对应IP地址的系统，是互联网基础设施的重要组成部份。
然而，由于DNS协议的设计缺陷和实现漏洞，使得DNS成为黑客攻击中的重要目标。
为了保护企业网络的安全，DNS安全防护解决方案应运而生。
二、DNS安全威胁分析1. DNS劫持：黑客通过篡改DNS响应，将合法域名解析到恶意IP地址，从而实现对用户的欺骗和攻击。
2. DNS缓存投毒：黑客通过发送伪造的DNS响应，将恶意域名和对应的IP地址缓存到DNS服务器中，导致用户请求被重定向到恶意网站。
3. DDoS攻击：黑客通过大量的DNS请求，占用DNS服务器的资源，使得合法用户无法正常访问。
4. DNS隐蔽信道：黑客通过在DNS请求和响应中隐藏数据，实现信息的传输和命令的控制。
三、DNS安全防护解决方案1. DNS防火墙：部署在企业网络与互联网之间，对DNS流量进行监控和过滤，阻挠恶意的DNS请求和响应。
通过黑白名单机制、行为分析和异常检测等技术手段，有效防止DNS劫持和缓存投毒攻击。
2. DNS缓存服务器优化：优化DNS缓存服务器的配置，设置合理的TTL （Time To Live）值，减少不必要的DNS请求，降低被DDoS攻击的风险。
3. DNS流量分析：通过对DNS流量的实时监测和分析，及时发现异常流量和异常行为。
结合机器学习和行为分析算法，识别并拦截潜在的恶意DNS请求。
4. DNS安全策略管理：制定严格的DNS安全策略，包括访问控制、域名白名单、IP白名单等，限制非法访问和恶意域名的解析。
5. DNS隐蔽信道检测：利用专业的DNS隐蔽信道检测工具，对企业内部的DNS流量进行监测和分析，及时发现和阻挠潜在的数据泄露和命令控制行为。
四、DNS安全防护解决方案的优势1. 高效性：通过对DNS流量的实时监控和分析，能够及时发现和阻挠各类DNS安全威胁，保护企业网络的安全。
DNS安全防护解决方案
DNS安全防护解决方案标题：DNS安全防护解决方案引言概述：DNS（Domain Name System）是互联网中最重要的基础设施之一，负责将域名转换为IP地址，是互联网通信的基础。
然而，DNS也存在安全风险，如DNS缓存投毒、DNS劫持等，给网络安全带来威胁。
为了保障DNS的安全，需要采取相应的防护措施。
一、加强DNS服务器安全性1.1 更新DNS服务器软件：定期更新DNS服务器软件，及时修补漏洞，提高系统的安全性。
1.2 配置防火墙：在DNS服务器上配置防火墙，限制对DNS服务的访问，防止未经授权的访问。
1.3 启用DNSSEC：启用DNSSEC（DNS Security Extensions），对DNS数据进行签名验证，确保数据的完整性和真实性。
二、加强网络设备安全性2.1 更新网络设备固件：定期更新网络设备的固件，修复安全漏洞，提高设备的安全性。
2.2 配置ACL（Access Control List）：在网络设备上配置ACL，限制对DNS 流量的访问，防止恶意攻击。
2.3 使用双因素认证：对网络设备进行双因素认证，提高设备的安全性，防止未经授权的访问。
三、监控DNS流量3.1 实时监控DNS流量：通过安全监控工具实时监控DNS流量，及时发现异常情况。
3.2 分析DNS查询日志：定期分析DNS查询日志，查找异常查询，及时处理安全事件。
3.3 部署DNS流量分析器：部署DNS流量分析器，对DNS流量进行深度分析，识别潜在的安全威胁。
四、加强域名注册商安全性4.1 选择可信赖的域名注册商：选择知名的域名注册商，避免因注册商安全漏洞导致域名被劫持。
4.2 启用域名锁定功能：启用域名注册商提供的域名锁定功能，防止域名被非法转移。
4.3 定期更改注册商密码：定期更改域名注册商的密码，确保账户的安全。
五、域名安全服务5.1 使用DDoS防护服务：部署DDoS防护服务，保护DNS服务器免受分布式拒绝服务攻击。
DNS安全防护解决方案
DNS安全防护解决方案一、背景介绍DNS（Domain Name System）是互联网中用于将域名转换为IP地址的系统。
然而，由于其开放性和易受攻击性，DNS服务经常成为黑客攻击的目标，例如DNS劫持、DNS缓存投毒等。
为了保障网络安全，DNS安全防护解决方案应运而生。
二、问题描述DNS安全问题主要包括DNS劫持、DNS缓存投毒、DNS欺骗等。
这些攻击行为会导致域名解析错误、用户被重定向到恶意网站、数据泄露等严重后果。
因此，需要一种有效的DNS安全防护解决方案来保护网络安全。
三、解决方案1. DNS防护服务通过引入专业的DNS防护服务提供商，可以实现对DNS服务的全面防护。
该服务提供商会使用先进的技术和算法来检测和阻止恶意DNS请求，防止DNS劫持和缓存投毒攻击。
同时，还能提供实时的DNS监测和报警功能，及时发现和应对潜在的安全威胁。
2. DNS防火墙DNS防火墙是一种专门针对DNS流量进行过滤和防护的设备。
它可以对DNS 请求进行深度检测，过滤掉潜在的恶意请求，并阻止恶意域名的解析。
同时，DNS防火墙还可以对DNS报文进行加密和认证，防止DNS欺骗攻击，提高网络安全性。
3. DNS安全策略制定合理的DNS安全策略是保护网络安全的重要一环。
可以通过以下措施来加强DNS安全：- 禁止公开的DNS服务器，只允许内部网络访问。
- 定期更新DNS服务器软件和补丁，以修复已知的安全漏洞。
- 限制DNS服务器的访问权限，只允许授权的用户或设备进行访问。
- 启用DNSSEC（DNS安全扩展）来确保域名解析的完整性和真实性。
- 监控DNS流量，及时发现异常行为，并采取相应的应对措施。
四、实施步骤1. 网络安全评估首先，进行网络安全评估，了解当前网络中存在的DNS安全问题和风险。
评估结果可以为制定合适的DNS安全防护解决方案提供依据。
2. 选择合适的DNS防护服务提供商根据评估结果，选择合适的DNS防护服务提供商。
DNS安全防护解决方案
DNS安全防护解决方案一、背景介绍DNS（Domain Name System）是互联网中用于将域名解析为IP地址的系统。
它是互联网的基础设施之一，但也面临着各种安全威胁，如DNS劫持、DNS缓存投毒和DDoS攻击等。
为了保护网络安全和用户隐私，需要采取有效的DNS安全防护解决方案。
二、DNS安全威胁及其影响1. DNS劫持：攻击者篡改DNS解析结果，将用户访问的域名指向恶意网站，导致用户信息泄露、资金损失等。
2. DNS缓存投毒：攻击者通过发送伪造的DNS响应，将恶意域名信息注入DNS缓存服务器，使用户访问被篡改的网站。
3. DDoS攻击：攻击者通过大量请求使DNS服务器超负荷运行，导致服务不可用，影响正常网络访问。
三、DNS安全防护解决方案1. DNSSEC（DNS Security Extensions）DNSSEC通过数字签名和公钥加密技术，确保DNS解析结果的完整性和真实性。
它可以防止DNS劫持和DNS缓存投毒攻击，提供安全的域名解析服务。
2. DDoS防护系统部署DDoS防护系统可以有效抵御DDoS攻击，保证DNS服务器的正常运行。
DDoS防护系统可以通过流量清洗、黑白名单过滤、限速等方式，过滤掉恶意流量，保障正常用户的访问。
3. DNS防火墙DNS防火墙可以监控和过滤DNS流量，阻挠恶意域名的解析请求。
它可以通过黑名单、白名单和安全策略等方式，对DNS请求进行过滤和控制，提高DNS的安全性。
4. 安全域名解析服务商选择选择可信赖的安全域名解析服务商，确保其具备完善的安全防护措施。
安全域名解析服务商应具备高可用性、高性能、高安全性和弹性扩展等特点。
5. 定期升级和维护定期升级DNS服务器软件和补丁，及时修复已知的漏洞和安全问题。
同时，对DNS服务器进行定期维护和巡检，确保其正常运行和安全性。
四、DNS安全防护的重要性1. 保护用户隐私：DNS安全防护可以防止用户的个人信息泄露和资金损失，保护用户的隐私权益。
DNS安全防护解决方案
DNS安全防护解决方案DNS（Domain Name System）是互联网中的一项基础服务，负责将域名转换为IP地址，使用户能够访问到相应的网站。
然而，DNS作为一个关键的网络服务，也面临着各种安全威胁，如DNS劫持、DNS缓存投毒等。
为了保护DNS服务的安全性，需要采取相应的防护措施。
本文将从六个大点阐述DNS安全防护解决方案。
引言概述：DNS安全防护是保护DNS服务免受各种安全威胁的关键措施。
在互联网时代，DNS安全问题日益突出，恶意攻击者可以通过篡改DNS解析结果，实施钓鱼攻击、中间人攻击等。
因此，采取有效的DNS安全防护解决方案对于保护用户的网络安全至关重要。
正文内容：1. DNSSEC（DNS Security Extensions）技术1.1 数字签名1.2 防止DNS劫持1.3 防止DNS缓存投毒1.4 增加DNS解析结果的可信度1.5 增强DNS的抗攻击能力2. DNS防火墙2.1 拦截恶意域名2.2 过滤恶意IP地址2.3 检测异常DNS请求2.4 防止DDoS攻击2.5 提供实时监控和报警功能3. DNS流量分析与监控3.1 分析DNS流量特征3.2 检测异常DNS流量3.3 监控DNS服务器的运行状态3.4 提供实时的DNS流量报告3.5 提供历史DNS流量数据分析4. DNS数据备份与恢复4.1 定期备份DNS数据4.2 分布式备份4.3 数据的完整性和一致性校验4.4 快速恢复DNS服务4.5 提供数据备份与恢复的日志记录5. DNS安全策略与访问控制5.1 限制对DNS服务器的访问5.2 配置访问控制列表（ACL）5.3 基于角色的访问控制（RBAC）5.4 强化DNS服务器的身份验证5.5 监控和审计DNS访问日志6. DNS域名监测与防护6.1 监测域名的注册信息6.2 检测域名的可疑行为6.3 防止域名劫持和域名欺诈6.4 提供域名黑名单服务6.5 提供域名安全评估报告总结：DNS安全防护解决方案是保护DNS服务免受各种安全威胁的关键措施。
DNS安全防护解决方案
DNS安全防护解决方案一、背景介绍DNS（Domain Name System）是互联网中用于将域名解析为IP地址的系统。
然而，由于DNS的开放性和易受攻击的特点，DNS安全问题日益突出。
为了保护DNS的安全性，提高网络的稳定性和可靠性，需要采取相应的安全防护措施。
二、DNS安全威胁1. DNS劫持：黑客通过篡改DNS响应，将合法域名解析到恶意网站，从而进行钓鱼、欺诈等攻击。
2. DNS缓存投毒：黑客通过发送伪造的DNS响应，将恶意域名解析结果存储到DNS缓存中，使得用户访问恶意网站。
3. DNS放大攻击：黑客通过伪造源IP地址向DNS服务器发送查询请求，使其返回大量响应数据，从而占用目标服务器的带宽资源。
4. DNS隧道：黑客通过DNS协议通信，绕过网络安全设备，进行数据传输和命令控制。
5. DNS拒绝服务（DDoS）：黑客通过大量的恶意请求，占用DNS服务器的资源，导致合法用户无法正常访问。
三、DNS安全防护解决方案1. DNSSEC（DNS Security Extensions）DNSSEC是一种通过数字签名来保护DNS数据完整性和认证性的扩展协议。
它通过在DNS层次结构中引入公钥加密技术，防止DNS数据被篡改或伪造。
DNSSEC可以有效解决DNS劫持和DNS缓存投毒等安全威胁。
2. DNS过滤通过在DNS服务器上部署DNS过滤技术，可以过滤恶意域名和IP地址，阻止用户访问已知的恶意网站。
DNS过滤可以有效防止DNS劫持和钓鱼攻击。
3. DNS流量监测与分析通过对DNS流量进行实时监测和分析，可以及时发现异常流量和恶意行为。
基于监测结果，可以采取相应的防护措施，如封锁恶意IP地址、限制查询频率等。
4. 安全策略配置合理配置DNS服务器的安全策略，限制对外开放的服务和接口，禁止未授权的访问。
同时，定期更新DNS服务器的软件版本和补丁，以修复已知的漏洞。
5. DDoS防护部署DDoS防护设备或服务，对DNS服务器进行实时监测和防护。
DNS安全防护解决方案
DNS安全防护解决方案DNS（Domain Name System）是互联网中用于将域名转换为IP地址的系统，是互联网的基础设施之一。
然而，DNS安全问题一直备受关注，因为DNS攻击可能导致网站遭受DDoS攻击、劫持、欺骗等问题。
为了保护DNS的安全，现在有许多解决方案可供选择。
本文将介绍DNS安全防护解决方案的相关内容。
一、DNSSEC（Domain Name System Security Extensions）1.1 DNSSEC是一种用于保护DNS数据完整性和认证性的安全扩展。
1.2 DNSSEC通过数字签名技术对DNS数据进行签名，确保数据的真实性。
1.3 DNSSEC可以有效防止DNS缓存投毒、欺骗等攻击，提高了DNS的安全性。
二、DNS防火墙2.1 DNS防火墙是一种用于监控和过滤DNS流量的安全设备。
2.2 DNS防火墙可以检测和阻止恶意DNS查询，防止DNS攻击。
2.3 DNS防火墙还可以对DNS流量进行分析和审计，帮助发现潜在的安全威胁。
三、DNS过滤器3.1 DNS过滤器是一种用于过滤DNS请求和响应的安全工具。
3.2 DNS过滤器可以根据事先设定的策略对DNS流量进行过滤，防止恶意域名的访问。
3.3 DNS过滤器还可以检测和阻止恶意软件使用DNS进行通信，提高网络的安全性。
四、DDoS防护服务4.1 DDoS攻击是一种通过向目标服务器发送大量的恶意流量来使其服务不可用的攻击方式。
4.2 DNS服务器是DDoS攻击的常见目标，因此需要使用DDoS防护服务来保护DNS服务器。
4.3 DDoS防护服务可以通过监控流量、过滤恶意流量等方式来保护DNS服务器免受DDoS攻击。
五、域名注册商安全服务5.1 域名注册商提供了一些安全服务，帮助用户保护域名的安全。
5.2 域名注册商可以提供域名监控服务，及时发现域名被劫持或欺骗的情况。
5.3 域名注册商还可以提供域名安全锁等服务，防止域名被非法转移或修改。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
TYPICAL PASSIVE DNS USES
How Passive DNS Normally Works
• Start with a known/observed bad data point • Domain name • Nameserver • IP address/CIDR • ASN
• Too many related resources • Malicious resources are comingled with innocent 3rd party resources
Lone Wolf Scenario
The cybercriminal reuses NOTHING across sites •Every IP address used to send SPAM or host content is totally unrelated to any other Ips the criminal uses •Every domain name is registered using:
• Forwarding "sanitized" spamples in complaints may yield URLs that simply don't work, or which work "misleadingly."
• Forwarding "raw spamples in complaints "outs" your spam collection infrastructure and may result in "list washing.”
• Examples
• If nameservers service a large number of domains, and thus are not a useful attribute to try to follow, look at the IP address(es) the bad domain is hosted on, instead.
UNIvariate Approaches
• Use a single point of commonality as a way to identify related domains • SAME exact IP? • SAME exact nameserver? • SAME exact domain name used over time (if you are interested in the set of IPs that a name has been using)
Multivariate Solutions to Passive DNS Challenges
Merike Kaeo CTO Farsight Security merike@fsi.io
Agenda
• Typical Passive DNS Use • Passive DNS Challenges • Multivariate Solutions • Understanding WHOIS and Geolocation • Malicious Campaigns during Public Events
• NOT combining multiple attributes into a single score, compared against a threshold (SPamAssassin style)
• NOT just successive application of independent univariate filters, either
• Use Passive DNS to find other IPs or domain names that share the same resources
• Leverage reputation locality but carefully review what you’ve found
Overcoming Reverse Proxies
• With Reverse Proxies, everything seems to “live on the reverse proxy’s IP addresses”
• Carefully scrutinize non-A/non-AAAA DNS records that may be present (e.g. MX, TXT, etc)
• If a domain is demonstrably engaged in phishing or other clearly illegal behavior, some privacy/proxy protection services have terms of service which allow the provider to unilaterally strip privacy protections.
Augmenting assis pDNS
• Combine passive DNS data with other non-DNS data to go “multivariate” • Non-DNS data could be pre-existing data such as domain WHOIS or IP WHOIS data
• A diverse assortment of registrars, one or two at a time • Unique name servers (installed and operated on unique IPs) • Unique/fictitious (or concealed) POC details • Unique (or anonymous) payment details
A Simple Two-D Normal Distribution
https:///wiki/File:Multivariate_normal_sample.svg
The Data We Have
• Currently passive DNS captures data about three main types of DNS-related entities: • Names • IPs • Name Servers
• Confirming you've opened the message and clicked through (establishing a potential argument that you've "opted-in")
• May result in you "using-up" a URL coded for one-time-use (try the same URL a 2nd or 3rd time? It may go nowhere)
• Collect new data to augment passive DNS dataset (where active scanning is allowed by law and by your network terms of service) • For example, fingerprint/scan hosts with NMAP or a similar scanning tool to see what patterns of ports (if any) are open on a range of IP addresses
• Each relies on a single attribute, exactly matched
Simple pDNS Works Well When….
• Many related domains coexist on a single IP(or small CIDR block), with no innocent 3rd party domains
• Example #2: WHOIS POC details are concealed by a WHOIS proxy/privacy service
Overcoming Obfuscation
• Look for other characteristics that may not be obfuscated, or seek to strip away anonymity
Poorly Documented Resource Assignments
• Example #1: Provider fails to document IP reassignments/reallocations in IP WHOIS or rWHOIS, and an abuser repeatedly moves (or is moved) around a single large network block, or among multiple smaller blocks.
• None of that is beautiful continuous data • If you attempt to visualize it, it will NOT look like the pretty graph on the preceding
page
Statistical options for nominal data are limited: you can do cross tabs, but (a) that's not very statistically "sexy," and (b) interpretation becomes hard as the table size increases