ATP Advanced Threat Protection Quelle / Verursacher herausfinden

HAllo Dirk,

kurze Frage wie sind den deine DNS einstellungen bei der Sophos das diese nicht vom Cli. durchgereicht werden zur Sophos?

M2019 said:

kurze Frage wie sind den deine DNS einstellungen bei der Sophos das diese nicht vom Cli. durchgereicht werden zur Sophos?

Sorry, ich verstehe die Frage nicht.

Die Frage war so gemeint macht die Sophos bei dir kein DNS Dienst oder ist Sie nur Forworder, nur damit mn verstehet warum Die Clinet IP Adressen nicht durchgereicht werden bis zu Sophos.

Hat denn keiner eine Idee bzw. einen Tipp, wie ich rausfinde, welcher Client auf die geblockte IP zugreift?

Doch, wenn das DNS log nicht weiterhilft, nimm Wireshark und schau, ob Du hier die Quelle ermitteln kannst.

Als Filter wäre wohl etwas in der Art dns.qry.name == "www.domain.com" passend.

Beste Grüße 

Alex

Hallo M2019,

die Frage ist nicht von mir ...

Aber: Standardkonfiguration in einem Windows-Netz ist oft/meist, DNS von den DC's erledigen zu lassen.

Die Sophos "sieht" dann nur die Anfragen, welche die internen DNS-Server (DC's) ins Internet senden.

Alexander Busch said:

Doch, wenn das DNS log nicht weiterhilft, nimm Wireshark und schau, ob Du hier die Quelle ermitteln kannst.

Als Filter wäre wohl etwas in der Art dns.qry.name == "www.domain.com" passend.

Beste Grüße 

Alex

 

Stimmt, wäre eine Möglichkeit.

Aber mal zum Verständnis: Wenn in der Übersicht der Advanced Threat Protection als Ziel kein DomainnName steht sondern eine IP Adresse und als Benutzer/Host der Windows DC mit DNS (z.B. 10.0.0.10/24), wie ist das zu deuten??

Wenn da ein Domainname steht, gehe ich davon aus, dass der DNS von irgendeinem Client eine DNS Anfrage erhalten hat und diesen Domainnamen auflösen will und das dann von der ATP geblockt wird. Da kann man ja in das DNS Log gucken und meist steht dort wiederum ein anderer DNS Server drin (z.B. 10.0.1.10/24), der seinerseits die Anfrage nur an den DC DNS weitergegeben hat. Dann schaut man ins Log dieses DNS Servers und erhält letzendlich die IP des initiierenden Clients und kann sich diesen genauer anschauen.

Wenn da aber eine IP als Ziel in der ATP Auflistung steht, was heißt das dann? Dass der DNS selbst und direkt versucht, mit der IP zu kommunizieren? Oder sind das dann Reverse Lookups und man muss erst auf dem DC Wireshark laufen lassen, schauen wo das herkommt (bzw. von welchem anderen DNS) und dort dann mit Wireshark prüfen bis man den Client ausfindig machen kann?

Und was hat es genau mit dem Ursprung auf sich? Mal steht da DNS, mal AFCd und glaube manchmal auch iptables...

Vielen lieben Dank.

Wenn dein eigener DNS als Ziel angegeben ist, dann war die DNS-Anfrage nicht auffällig genug um das IPS zu triggern, aber in der Antwort ist etwas Auffälliges.

Beispiel: Es wird nach einem "frischen" SchadsoftwareServer gefragt, der aber auf bekannten IP's läuft oder ein redirect auf bekannte Server bewirkt.

Dann ist es fast nicht mgl. den Verursacher zu finden.

dirkkotte said:

Wenn dein eigener DNS als Ziel angegeben ist, dann war die DNS-Anfrage nicht auffällig genug um das IPS zu triggern, aber in der Antwort ist etwas Auffälliges.

Nein der eigene DNS wird ja nicht als Ziel angegeben, sondern als Client/Host. Als Ziel steht entweder...

...a) ein Domainname drin, dann kann man im DNS Log des DC verfolgen, welche Clients diesen Domainnamen auflösen wollten.

oder

...b) eine IP drin, die findet man im DNS Log des DC aber nicht.

1: DC mit DNS.

2: Anderer DNS Server.

3: Von ATP geblocktes Ziel als Domainname (findet man auf 1 o. 2 im DNS Log)

4: Von ATP geblockte IP (findet man nicht auf 1 o. 2 im DNS Log)

Hallo zusammen,

ich will/muss mal noch mal fragen, ob noch jemand eine Idee hat, wie man sonst noch rausfinden könnte, welcher Client so eine von der ATP geblockte Anfrage an eine IP Adresse stellt (siehe oben Punkt 4).

Wireshark eignet sich leider nicht bzw. nur bedingt, denn meist sind solche Meldungen einmalig, sodass es nicht hilft, Wireshark erst nach der ATP Meldung auf dem Quellsystem zu starten. Und auf allen Geräten Wireshark permanent laufen zu lassen erscheint mir auch nicht sinnvoll.

Besten Dank für jede Idee, jeden Ansatz, jeden Hinweis etc. :-)

Hallo zusammen,

ich will/muss mal noch mal fragen, ob noch jemand eine Idee hat, wie man sonst noch rausfinden könnte, welcher Client so eine von der ATP geblockte Anfrage an eine IP Adresse stellt (siehe oben Punkt 4).

Wireshark eignet sich leider nicht bzw. nur bedingt, denn meist sind solche Meldungen einmalig, sodass es nicht hilft, Wireshark erst nach der ATP Meldung auf dem Quellsystem zu starten. Und auf allen Geräten Wireshark permanent laufen zu lassen erscheint mir auch nicht sinnvoll.

Besten Dank für jede Idee, jeden Ansatz, jeden Hinweis etc. :-)