abhinavkishor9/wazuh-threat-hunting-lab19-dns-query-monitoring

# wazuh-threat-hunting-lab19-dns-query-monitoring ## 目标 使用 Sysmon Event ID 22 检测可疑的 DNS 活动，并在 Wazuh Threat Hunting 中调查 DNS 查询事件。 本实验室模拟重复的 DNS 查询，类似于 DNS tunneling 或 command-and-control 通信的早期阶段。 ## 实验环境 - Windows 11 - Wazuh Manager - Wazuh Agent - Sysmon - PowerShell ## MITRE ATT&CK 映射 | 战术 | 技术 | ID | |---------|-----------|----| | Command and Control | Application Layer Protocol: DNS | T1071.004 | | Command and Control | Data Obfuscation (Potential DNS Tunneling) | T1001 | ## 执行步骤 ### 步骤 1 – 验证所需服务 验证了 Sysmon 和 Wazuh Agent 服务正在运行。 截图： - 验证服务正在运行 ### 步骤 2 – 生成正常 DNS 查询 执行了正常的 DNS 查询。 ``` Resolve-DnsName google.com Resolve-DnsName microsoft.com Resolve-DnsName github.com ``` 截图： - 生成正常 DNS 活动 ### 步骤 3 – 模拟可疑 DNS 活动 使用 PowerShell 执行了多次 DNS 请求。 ``` 1..20 | ForEach-Object { Resolve-DnsName "test$_.example.com" -ErrorAction SilentlyContinue } ``` 这会生成重复的 DNS 查询，类似于可疑的 DNS beaconing 行为。 截图： - 模拟可疑 DNS 查询 ### 步骤 4 – 验证 Sysmon 日志记录 确认了 Sysmon Event ID 22 事件。 ``` Get-WinEvent ` -LogName "Microsoft-Windows-Sysmon/Operational" ` -FilterXPath "*[System[(EventID=22)]]" ` -MaxEvents 20 ``` 截图： - 验证 DNS 查询日志记录 ### 步骤 5 – 在 Wazuh 中调查 打开： Threat Hunting 筛选条件： ``` data.win.system.eventID:22 ``` 审查内容： - DNS Query Name - Process - User - Timestamp - Image - Query Status 截图： - 在 Wazuh Threat Hunting 中定位 DNS 事件 ### 步骤 6 – 审查事件详情 打开了一个单独的事件。 验证了： - Event ID - Process Image - Query Name - User - Timestamp - Sysmon Channel 截图： - 在 Wazuh Threat Hunting 中查看事件详情 ## 检测工作流 PowerShell ↓ 生成 DNS 查询 ↓ Sysmon Event ID 22 ↓ Windows Event Log ↓ Wazuh Agent ↓ Wazuh Manager ↓ Threat Hunting 调查 ## 检测机会 SOC 分析师可以识别： - 过多的 DNS 请求 - 重复失败的查询 - Beaconing 活动 - 可疑子域名 - 潜在的 DNS tunneling - 恶意软件通信 - Command-and-control 流量 ## 展示技能 - Sysmon Event ID 22 - Windows DNS 监控 - Wazuh Threat Hunting - PowerShell 模拟 - IOC 调查 - DNS 分析 - SOC 调查工作流

标签：AI合规, DNS监控, IPv6, PowerShell, Sysmon, Wazuh, 安全实验