Explain ATP to me, please

ATP in the UTM is in the meanwhile quite effective finding malware in your network and from my experience also relatively silent in view of false positives. In the meanwhile I know a lot of partners and customers who found malware residing in their or customer network thanks to ATP.

While you can be nearly sure if ATP got triggered by it´s blacklist (IPTABLES) or URLs (Web Proxy or AFCd), you have most likely a real threat in your network.

DNS as source is more difficult, as:
a) there may be some obscure domains be listed in ATP pattern list, which besides of malware also may be partly used for legitimate stuff too. Shouldn´t be too many of them, but I assume this absolutely possible.
b) DNS triggers are difficult to resolve back to the originating internal client, as usually in your networks the DC´s should be the only devices doing external lookups for your network, so always your DC, and not the originating client in the network gets listed. And as the blocked Malware lookup from the client gets blocked/not resolved, there´s also no following outgoing connection to a C&C server or Malware URL (which would originate directly from a compromised client).

I thought little about that issue, as I got contacted by partners searching the source of those lookups. My best idea is to place another UTM in bridge mode between your DC´s/DNS Servers and the clients. So ATP on that bridged (temporary) UTM should list the real source clients IP doing that DNS lookups. Not a perfect solution, but better than searching windows logs, wiresharkíng on those windows DC´s etc. for days. Better than nothing ;o)

BTW: As DNS lookups also lists the requested domain, you can weight by yourself, how big the chance is, that this was a real malware. If you have a alert for a human readable domain which makes sense as "mydailynewspaper.com",  it *could* be a malware, but is very likely a FP. If you see domains like "jha89serjha98.ie" or "jaiofddda12.ru" and such senseless strange domains, it´s most likely a real threat trying to access their floating, dynamicly generated C&C domains ;o)

ATP in the UTM is in the meanwhile quite effective finding malware in your network and from my experience also relatively silent in view of false positives. In the meanwhile I know a lot of partners and customers who found malware residing in their or customer network thanks to ATP.

While you can be nearly sure if ATP got triggered by it´s blacklist (IPTABLES) or URLs (Web Proxy or AFCd), you have most likely a real threat in your network.

DNS as source is more difficult, as:
a) there may be some obscure domains be listed in ATP pattern list, which besides of malware also may be partly used for legitimate stuff too. Shouldn´t be too many of them, but I assume this absolutely possible.
b) DNS triggers are difficult to resolve back to the originating internal client, as usually in your networks the DC´s should be the only devices doing external lookups for your network, so always your DC, and not the originating client in the network gets listed. And as the blocked Malware lookup from the client gets blocked/not resolved, there´s also no following outgoing connection to a C&C server or Malware URL (which would originate directly from a compromised client).

I thought little about that issue, as I got contacted by partners searching the source of those lookups. My best idea is to place another UTM in bridge mode between your DC´s/DNS Servers and the clients. So ATP on that bridged (temporary) UTM should list the real source clients IP doing that DNS lookups. Not a perfect solution, but better than searching windows logs, wiresharkíng on those windows DC´s etc. for days. Better than nothing ;o)

BTW: As DNS lookups also lists the requested domain, you can weight by yourself, how big the chance is, that this was a real malware. If you have a alert for a human readable domain which makes sense as "mydailynewspaper.com",  it *could* be a malware, but is very likely a FP. If you see domains like "jha89serjha98.ie" or "jaiofddda12.ru" and such senseless strange domains, it´s most likely a real threat trying to access their floating, dynamicly generated C&C domains ;o)