Materi
MITRE ATT&CK menamai upaya mendapatkan daftar layanan pada host lain sebagai Network Service Discovery (T1046), misalnya lewat pemindaian port. Di tangkapan, polanya: satu sumber mengirim [S] ke banyak port berbeda pada satu tujuan dalam waktu singkat, jawabannya campuran [S.] dan [R.], dan sumber itu tidak pernah mengirim data. Yang dihitung adalah port tujuan unik per sumber, bukan banyaknya baris SYN, karena SYN yang tidak dijawab dikirim ulang.
Untuk DNS, halaman manual tcpdump menulis kueri sebagai id, tanda + bila rekursi diminta, jenis kueri seperti A?, lalu nama yang ditanyakan. Jawaban memuat id, jumlah rekaman jawaban/otoritas/tambahan, dan datanya; jawaban NXDomain berarti nama itu tidak ada, sesuai kode Name Error (RCODE 3) di RFC 1035. ATT&CK mencatat dua penyalahgunaan DNS. Domain Generation Algorithms (T1568.002): malware membangkitkan banyak nama domain, sering berupa huruf acak, untuk mencari server kendalinya, dan strategi deteksinya menyebut laju kueri tak wajar serta lookup yang gagal. Application Layer Protocol: DNS (T1071.004): perintah dan hasilnya diselipkan di lalu lintas DNS ke server milik penyerang, dikenal sebagai DNS tunneling.
Satu host yang menanyakan banyak nama acak berbeda dan hampir semuanya dijawab NXDomain adalah indikator, bukan vonis; ia dicatat dan diperiksa seperti indikator lain di modul 4.
