मैंने वायरस कैसे खोजे ...

ठीक है, मैं तुरंत कहूंगा कि वायरस खुद नहीं, बल्कि उनकी गतिविधि, लेकिन फिर भी मैंने अपने कंप्यूटर, फोन और टैबलेट "गो" के बारे में बहुत सी नई चीजों की खोज की।



और शाम हो गई, कुछ करना नहीं था ... बारिश हो रही थी, इंटरनेट पर संदेह धीमा हो गया, हालांकि ऐसा लगता है कि 8 मेगाबिट्स और सब कुछ "उड़ना" चाहिए। मेरा घरेलू उपकरण पार्क, जो वर्ल्ड वाइड वेब से जुड़ा है, छोटा है - एक स्थिर कंप्यूटर, लैपटॉप, टैबलेट, लिनक्स के साथ सैटेलाइट ट्यूनर, 3 स्मार्टफोन और डेबियन और एक्सन के साथ एक मृत थोड़ा सेरोवका-चोंचिक (यह पांच लगातार काम कर रहे आभासी ओसीएस भी है)। बहुत कुछ छोटा नहीं है, लेकिन इस अर्थव्यवस्था में वायरस के लिए लगातार बनाए रखने, अपडेट करने और जांचने में पैसा लगता है (लाइसेंस प्राप्त सॉफ्टवेयर) और समय, जो हमेशा चला गया है। और कुछ बिंदु पर, एंटीवायरस को पूरी तरह से छोड़ने का फैसला किया गया था, अन्यथा उन्हें खरीदें, उन्हें अपडेट करें ... हां, और विषयगत रूप से सब कुछ धीमा हो जाता है ...



मुझे एंटीवायरस मना करने के बाद एक साल से अधिक समय बीत चुका है। सब कुछ काम करता है, सब कुछ ठीक है, लेकिन ... "क्या आप एक हम्सटर चलाते हैं? "लेकिन वह है!"



मैं एक वेब प्रोग्रामर हूं, इसलिए सर्वर पर मैंने खुद के लिए dns कॉन्फ़िगर किया (bind9), जिसमें मैंने डेवलपमेंट के लिए .dev ज़ोन बनाया (यह बहुत सुविधाजनक है, देखें [tyts] ), और इसे एक के लिए चालू किया, बस इसे केस में रहने दें। मेरे स्थानीय DNS सर्वर का पता डीएचसीपी एडीएसएल मॉडेम द्वारा नेटवर्क पर मुख्य DNS सर्वर के रूप में वितरित किया जाता है।



और फिर एक दिन मैंने डीएनएस सर्वर लॉग में वहां क्या लिखा है, यह देखने का फैसला किया। यह पता चला है कि घर के कंप्यूटरों में से एक लगातार दस्तक देता है समझ में नहीं आता है:

01-Nov-2013 23:11:03.128 queries: info: client 192.168.1.11#63500: query: yfp2lvdyye86s78.pp.ua IN A + (192.168.1.1) 01-Nov-2013 23:11:04.138 queries: info: client 192.168.1.11#63500: query: yfp2lvdyye86s78.pp.ua IN A + (192.168.1.1) 01-Nov-2013 23:11:09.867 queries: info: client 192.168.1.11#58461: query: yfp2lvdyye86s78.free IN A + (192.168.1.1) 01-Nov-2013 23:11:15.390 queries: info: client 192.168.1.11#52119: query: yfp2lvdyye86s78.ce.ms IN A + (192.168.1.1) 01-Nov-2013 23:11:21.006 queries: info: client 192.168.1.11#50737: query: yfp2lvdyye86s78.net IN A + (192.168.1.1) 01-Nov-2013 23:11:26.512 queries: info: client 192.168.1.11#54267: query: 35pa1j6h47e1l7v.tk IN A + (192.168.1.1)
      
      

        
        
        
      

    
        
        
        
      
      

        
        
        
      

    
     

मैं निश्चित रूप से वहाँ नहीं गया था, फिर यह कोई और है। वायरस की रोकथाम की गई, और मैलवेयर वास्तव में पाया गया और "ठीक" किया गया। परी कथा का अंत होगा, लेकिन मैं वहाँ नहीं रुका। मैं DNS सर्वर के संचित लॉग का अधिक गहराई से और सुविधाजनक रूप में विश्लेषण करना चाहता था, मेरी इच्छा और इच्छाओं के अलावा कुछ और हो सकता था।



और बिंगो - उन्होंने मुझे (उस कार्टून में) गिना। मैं विज्ञापन देखता हूं और सभी काउंटर लगातार मुझ पर विचार करते हैं। बेशक, यह किसी के लिए कोई रहस्य नहीं है कि अधिकांश साइटों पर विभिन्न विज्ञापन प्लेटफार्मों से कई प्रकार के उपस्थिति काउंटर, मैट्रिक्स और विज्ञापन स्थापित हैं, यहां तक ​​कि LIKE सोशल भी हैं। वे नेटवर्क जिन्हें मैं जानता भी नहीं हूं। और क्यों, वे मुझे क्या विचार करेंगे, कष्टप्रद विज्ञापन दिखाने के लिए, मुझे क्या आवश्यकता नहीं है? इसके साथ कुछ करने की जरूरत है।



दो समस्याओं को हल करने की आवश्यकता है - एक सुविधाजनक तरीके से लॉग का विश्लेषण करने के लिए, और अनावश्यक साइटों (काउंटर, विज्ञापन, आदि) को अवरुद्ध करें, क्योंकि सभी कंप्यूटरों पर विज्ञापन कटर लगाना किसी तरह से एक विकल्प नहीं था, और मैं एक प्रॉक्सी के माध्यम से इंटरनेट भी नहीं करना चाहता था। बहुत से तरीके अवरुद्ध करने के बहुत सारे तरीके हैं, लेकिन खुद के लिए मैंने अपने स्थानीय के साथ वास्तविक DNS आईपी पते को स्थानापन्न करना चुना। यही है, स्थानीय DNS कॉन्फ़िगरेशन।



पहले पैराग्राफ के साथ मुझे लगा कि कोई समस्या नहीं होगी। हमारे सामने सब अच्छा लिखा गया है। एक अद्भुत बैश स्क्रिप्ट मिली - एक जो लॉग्स को सॉर्ट करके और रूबी बिंद लॉग एनालाइज़र प्रोजेक्ट में सबसे अधिक देखी जाने वाली साइट्स को दिखा सकती है, जो लॉग को mysql डेटाबेस में कनवर्ट करती है और यह भी कहा गया कि इसमें परिणामों को देखने के लिए एक वेब इंटरफ़ेस है। इसके अलावा, गर्म खोज में, संसाधन http://pgl.yoyo.org/adservers/ पाया गया, जिस पर सब कुछ लगता है, और उन डोमेन की सूची जिन्हें सुरक्षित रूप से अक्षम किया जा सकता है, और यह कैसे करना है, इसका वर्णन है, लेकिन ... मुझे विश्वास नहीं है कि कैसे बाइंड 8 में है, लेकिन bind9 ने उस साइट पर प्रस्तावित खाली क्षेत्र पर दृढ़ता से शाप दिया, और ब्राउज़रों ने पृष्ठ को लोड करने की प्रक्रिया को पूरा नहीं किया, पृष्ठ पर काउंटर और विज्ञापनों को लोड करने की कोशिश की, यह समझ में नहीं आया कि कुत्ते कहां खुदाई कर रहे थे।



पहले स्क्रिप्ट सही से फिट नहीं हुई। लॉग आधे साल के लिए थे, लॉग का कोई रोटेशन नहीं था, और बाकी सभी चीजों में डीएनएस सर्वर तक पहुंच के समय को बचाने के लिए एक पैरामीटर शामिल नहीं था। दूसरा बिंद लॉग विश्लेषक, जिसमें लॉग विश्लेषण को कॉन्फ़िगर करना संभव था, लेकिन वेब इंटरफ़ेस को इतना कम लॉन्च करने में कामयाब रहा। मुझे बाइक चलानी थी।



तो, बाइक के बारे में। इसे स्टेटडॉगलॉग कहा जाता है, यह गिटब पर स्थित है और इसमें दो भाग होते हैं: उपयोगिताओं और वेब इंटरफेस।

उपयोगिताएँ कर सकते हैं:

- DNS Bind9 के प्रश्नों की लॉग फ़ाइलों को अलग करें;

- डेटाबेस (mysql) को प्राप्त डेटा को बचाएं;

- pgl.yoyo.org (उदाहरण के लिए) से सूचियों के आधार पर निषेध सूची बनाएं;

- आपकी सूची से प्रतिबंधों की सूची में नई डीएनएस जोड़ना (डीएनएस एनुमरेशंस के साथ पाठ फ़ाइल);

- BIND9 के लिए DNS सेटिंग्स टेम्प्लेट उत्पन्न करें।



वेब इंटरफ़ेस:

- दिनांक के आधार पर क्रमबद्ध किए गए आंकड़े प्रदर्शित करते हैं (डिफ़ॉल्ट रूप से, सबसे अधिक देखे गए शीर्ष पर हैं) और अन्य क्षेत्र;

- सबसे अधिक देखी जाने वाली DNS और कितनी बार देखी गई;

- प्रतिबंधित डीएनएस की सामान्य सूची में रंग (लाल) को हाइलाइट करें, निषिद्ध की सूची से डीएनएस।



वैसे, मेरा कहना है कि DNS को फिर से परिभाषित करने से आप कुछ भी नहीं बचा पाएंगे और यह सुरक्षा का साधन नहीं है। संरक्षण एंटीवायरस, फायरवॉल, ट्रैफ़िक विश्लेषक और सुरक्षा के अन्य विशिष्ट साधनों के साथ हो सकता है, लेकिन DNS ट्रैफ़िक का विश्लेषण करने के मामले में, यह चेतावनी दी गई है, इसका मतलब है कि यह सशस्त्र है, और कौन, कहाँ और कब परिवार के साथ जाता है, यह दिखाई देता है।



एक बार फिर से github का लिंक: https://github.com/mcdir/statdnslog

वेबसाइट: http://statdns.nedze.com/

वेब इंटरफ़ेस का डेमो संस्करण: http://demo.statdns.nedze.com/



अतिरिक्त सामग्री

DNS BIND9 लॉगिंग क्लाज लॉग को सक्षम करना - http://www.zytrax.com/books/dns/ch7/log.html

नाम / bind / DNS पूर्ण लॉगिंग को सक्षम कैसे करें - http://stackoverflow.com/questions/11153958/how-to-enabled-onym-bind-dns-full-log

बाइंड लॉग्स - शीर्ष DNS क्वेरीज़ http://www.pablumfication.co.uk/2010/09/03/bind-logs-top-dns-queries/