guhui 发表于 2024-6-1 09:36
  
每天坚持打卡学习签到!!
AC审计到内网服务器访问恶意域名
  

sangfor_2171 53845人觉得有帮助

{{ttag.title}}
问题现象:AC是网桥部署的,内网有个服务器,AC审计到这个服务器访问了恶意域名,源端口是80,目的端口是随机的端口,目标IP是PC的IP,源IP是服务器的内网IP。
环境大致如下:
分析:以上日志因为源端口是80,所以可以肯定不是服务器主动去访问的恶意域名,因为主动访问其他端口的时候,源端口不可能使用80端口。
所以这个日志是公网用户访问服务器产生的。

通过数据包来分析具体过程:
这个包是AC的wan口抓的,可以看到确实是公网IP在访问服务器的IP,并且Host是个恶意域名。
而AC的审计原理是记录lan-wan的数据,而这个场景是wan-lan的数据,所以就会源目颠倒审计日志,于是就出现了以上日志了。

那大家肯定有疑问了,服务器注册的域名根本就不是这个,为什么访问这个域名的数据包会发到这边来呢?
以上的数据包和实验环境是通过实验重现出来的,因为在测试PC上写了个hosts,把恶意域名解析成客户的出口IP了,然后在测试PC直接访问这个恶意域名,经过本地hosts解析,就会发给客户的服务器了。

解决办法:
上述过程是实验重现出来的,但是客户那边确实发生了,应该不会有人这么无聊去写hosts制造问题,所以出现这种情况,可能是客户的公网IP被恶意利用了,在公网某些恶意域名被恶意DNS解析成了客户的公网IP。要解决这种问题,只能找运营商去处理了,例如换个公网IP。

另外也可以通过应用层控制设备把恶意域名拒绝,比如AC,实际上这个场景,AC已经把恶意域名拦截了,因为服务器并没有收到这个HTTP请求包。

打赏鼓励作者,期待更多好文!

打赏
18人已打赏

发表新帖
热门标签
全部标签>
每日一问
2024年技术争霸赛
干货满满
技术笔记
技术盲盒
GIF动图学习
秒懂零信任
技术咨询
新版本体验
2023技术争霸赛专题
通用技术
信服课堂视频
功能体验
产品连连看
标准化排查
安全攻防
网络基础知识
天逸直播
自助服务平台操作指引
答题自测
在线直播
深信服技术支持平台
技术晨报
齐鲁TV
华北区交付直播
每周精选
畅聊IT
专家问答
技术圆桌
MVP
安装部署配置
升级
上网策略
测试报告
日志审计
问题分析处理
流量管理
每日一记
运维工具
云计算知识
用户认证
原创分享
解决方案
sangfor周刊
VPN 对接
项目案例
SANGFOR资讯
专家分享
技术顾问
信服故事
SDP百科
功能咨询
终端接入
授权
设备维护
资源访问
地址转换
虚拟机
存储
迁移
加速技术
排障笔记本
产品预警公告
玩转零信任
信服圈儿
S豆商城资讯
技术争霸赛
「智能机器人」
追光者计划
社区帮助指南
答题榜单公布
纪元平台
卧龙计划
华北区拉练
以战代练
山东区技术晨报
文档捉虫活动
北京区每日一练

本版版主

147
109
49

发帖

粉丝

关注

本版达人

新手89785...

本周建议达人

七嘴八舌bar

本周分享达人

新手76619...

本周提问达人