Пассивный DNS.

Пассивный DNS (pDNS) формируется датчиками, размещёнными непосредственно над рекурсивными резолверами, которые фиксируют получаемые резолвером ответы, сами никогда не обращаясь к авторитативным серверам. Технику ввёл Флориан Ваймер в работе 2005 года Passive DNS Replication, представленной на конференции FIRST; его система журналировала ответы резолвера и реплицировала их в центральную базу данных с возможностью запросов. Датчики обычно захватывают только межсерверный трафик (промахи кеша) выше резолвера, тем самым избегая записи stub-запросов конечных пользователей.

Наборы данных от Farsight DNSDB (теперь в составе DomainTools), VirusTotal, SecurityTrails и CIRCL позволяют поворачивать расследование от домена к историческим IP, соседним доменам, NS-записям и меткам first-seen/last-seen. Многие отдают записи в общем выходном формате IETF (COF, draft-dulaunoy-dnsop-passive-dns-cof), чтобы результаты были взаимозаменяемы между поставщиками. Это ключевой ресурс для охоты за угрозами, картографирования вредоносной инфраструктуры, takedown-операций и отслеживания fast-flux и DGA — например, чтобы подтвердить, что фишинговый домен впервые разрешился лишь за часы до кампании. Поскольку pDNS фиксирует только реально наблюдавшееся, он дополняет WHOIS, Certificate Transparency и активное сканирование и неинтрузивен для владельцев наблюдаемых доменов.

flowchart LR
  C[Клиенты] --> R[Рекурсивный резолвер]
  R -->|запросы при промахе кеша| AUTH[Авторитативные серверы]
  S[Датчик pDNS] -. наблюдает ответы .-> R
  S --> DB[(База данных pDNS)]
  AN[Аналитик] -->|поворот по домену / IP| DB
  DB -->|исторические разрешения| AN