Ver registros de ameaças

Os registros de ameaças do Cloud DNS oferecem informações detalhadas sobre consultas DNS suspeitas e possíveis atividades maliciosas. É fundamental entender esses registros, já que o DNS pode ser alvo de ataques de spoofing e outras explorações que podem redirecionar os usuários para sites maliciosos ou afetar a disponibilidade do sistema. Use esses registros para monitorar e investigar possíveis ameaças à segurança e melhorar a postura de segurança da sua rede.

Antes de começar

Verifique se as etapas a seguir foram concluídas antes de visualizar os registros de ameaças do DNS:

Os registros de ameaças são gravados no Cloud Logging e podem gerar custos de armazenamento adicionais. Consulte Usar o registro e o monitoramento: preços ou Preços do Google Cloud Observability: Cloud Logging.

Ver registros de ameaças

É possível conferir os registros do no Google Cloud console do.

Cada entrada de registro inclui detalhes para identificar a consulta DNS e a ameaça correspondentes.

Console

  1. No Google Cloud console do, acesse a página Análise de registros.

    Acessar a Análise de registros

  2. Filtre os registros para networksecurity.googleapis.com/DnsThreatDetector.

Campos de registro de ameaças

Cada registro de ameaça tem os seguintes campos.

Nome Tipo Descrição
detectionTime string Hora em que a ameaça foi detectada em UTC. O carimbo de data/hora está no formato ISO 8601.
dnsQuery DnsLog Formato de registro do Cloud DNS.
partnerId string Identificador exclusivo do parceiro.
threatInfo threatInfo Os detalhes da ameaça detectada.

Campo de informações sobre ameaças

Confira na tabela a seguir o formato do campo threatInfo.

Nome Tipo Descrição
threatID string Identificador exclusivo da ameaça.
threat string O nome da ameaça detectada.
threatDescription string Uma descrição detalhada da ameaça detectada.
category string O subtipo da ameaça detectada.
type string O tipo de ameaça detectada. Por exemplo, DNS_Tunnel, DGA (algoritmos de geração de domínio) ou C2 (comando e controle).
severity string

A gravidade (alta, média, baixa ou informação) associada à ameaça detectada.

Para mais informações, consulte a Definição de nível de gravidade da Infoblox (em inglês).
confidence string

Confiança da previsão de ameaças (alta, média, baixa).

Para mais informações, consulte a Definição de nível de confiança da Infoblox.
threatFeed string Feed de ameaças que acionou esse alerta.
indicatorType string O tipo de indicador que acionou esse alerta de ameaça. Por exemplo, URL, IP, hash ou host.
threatIndicator string O indicador de ameaça que acionou esse alerta.

Campo de consulta DNS

Confira na tabela a seguir o formato do campo DnsQuery.

Nome Tipo Descrição
projectNumber string Número do projeto de origem.
location string Google Cloud Região, por exemplo, us-east1, de onde a resposta foi veiculada.
queryName string Nome da consulta DNS, RFC 1035 4.1.2.
queryType string Tipo de consulta DNS, parâmetros DNS da IANA: tipos de registro de recurso (RR).
responseCode string Código de resposta, parâmetros DNS da IANA: RCODEs de DNS.
rdata string Resposta de DNS no formato de apresentação, parâmetros DNS da IANA: tipos de registro de recurso (RR), truncado para 260 bytes.
authAnswer string Resposta autoritativa, parâmetros DNS da IANA: flags de cabeçalho DNS.
sourceIp string IP que gerou a consulta.
destinationIp string Endereço IP de destino, aplicável somente a casos de encaminhamento.
protocol string TCP ou UDP.
queryTime string Carimbo de data/hora de quando a consulta DNS foi enviada.
vmInstanceId string Nome da instância da VM do Compute Engine, aplicável apenas a consultas iniciadas pelas VMs do Compute Engine.
vmProjectNumber string Google Cloud ID do projeto da rede de onde a consulta foi enviada, aplicável apenas a consultas iniciadas por instâncias de VM do Compute Engine.
serverlessInstanceId string ID da instância sem servidor de onde a consulta foi enviada, aplicável apenas a consultas iniciadas pelo ambiente sem servidor.

A seguir