Alerte « Volume anormal de requêtes DNS TXT ». Les journaux DNS de la sonde Suricata sont dans /var/log/suricata/dns.log, l'inventaire des postes dans ~/inventaire.csv.
- Repérez le domaine interrogé anormalement souvent (requêtes TXT vers des sous-domaines aléatoires) →
answer domaine <domaine enregistré> (ex. exemple.net, sans les sous-domaines)
- Combien de requêtes vers ce domaine ? →
answer requetes <n>
- Quel poste les émet ? →
answer poste <nom du poste>
- Sinkhole : faites répondre
0.0.0.0 au résolveur pour ce domaine — fichier /etc/dnsmasq.d/sinkhole.conf (address=/<domaine>/0.0.0.0) — puis redémarrez dnsmasq