Kumpulkan Log Aliran Lalu Lintas DNS Query
Deskripsi
Kumpulkan log aliran lalu lintas DNS query pada aset perusahaan, jika sesuai dan didukung.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform SIEM dengan manajemen log, deteksi ancaman, investigasi, dan pelaporan kepatuhan di seluruh sumber data perusahaan
Cisco (Splunk) · Berbasis ingest atau berbasis beban kerja
SIEM dan SOAR cloud-native dengan analitik berbasis AI, respons ancaman otomatis, dan integrasi native Azure/M365
Microsoft · Bayar sesuai penggunaan (per GB yang diproses)
Platform manajemen log dan observabilitas berkinerja tinggi yang dirancang untuk data skala petabyte dengan pencarian real-time
CrowdStrike · Langganan per GB
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Penghindaran Command-and-Control Berbasis DNS
ConfidentialityMalware berkomunikasi dengan infrastruktur command-and-control menggunakan DNS tunneling atau DNS-over-HTTPS, dan tanpa pencatatan kueri DNS organisasi tidak dapat mendeteksi saluran terselubung ini atau mengidentifikasi host yang dikompromikan.
Eksfiltrasi Data melalui Kueri DNS
ConfidentialityPenyerang mengkodekan data curian ke dalam subdomain kueri DNS untuk mengeksfiltrasi informasi sensitif melalui protokol DNS, yang tanpa pencatatan kueri tampak sebagai lalu lintas DNS normal dan melewati kontrol DLP tradisional.
Resolusi Domain Berbahaya Tanpa Deteksi
IntegrityAset perusahaan menyelesaikan domain berbahaya yang diketahui, situs phishing, atau infrastruktur ancaman yang baru terdaftar, tetapi tanpa log kueri DNS tim keamanan tidak memiliki visibilitas terhadap indikator kompromi ini.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Pencatatan Kueri DNS pada Server DNS Perusahaan
Server DNS internal dan resolver tidak memiliki pencatatan kueri yang diaktifkan, menyediakan nol visibilitas terhadap domain mana yang diselesaikan oleh aset perusahaan dan menghilangkan sumber data kritis untuk deteksi ancaman.
Kueri DNS Melewati Resolver yang Dipantau
Endpoint diizinkan membuat kueri DNS langsung ke resolver eksternal (8.8.8.8, 1.1.1.1) daripada dipaksa melalui server DNS perusahaan, sepenuhnya melewati pencatatan DNS yang ada.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Teknis | Dasbor SIEM yang menunjukkan sumber log dan status pengumpulan | Diambil setiap bulan |
| Catatan | Catatan peninjauan log dan temuan | Setiap siklus peninjauan |
| Teknis | Konfigurasi penyaringan DNS dan statistik pemblokiran | Bulanan |
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |