Conceito e funcionamento
Registros A e AAAA relacionam nomes a endereços IPv4 e IPv6. A consulta pode passar por cache de sistema, resolvedor corporativo, proxy ou serviço externo; a presença de um domínio no log de DNS não garante que uma conexão TCP tenha sido estabelecida. TTL controla cache da resposta e não a duração real do controle sobre o nome.
Como investigar e correlacionar
Relacione cliente, resolvedor, pergunta, tipo, resposta, TTL e momento. Cruze resultados com conexões do host e logs de proxy, observando se o processo do endpoint foi identificado. Compare histórico do mesmo ativo e necessidades legítimas da aplicação, sem tratar domínios novos como maliciosos por definição.
Consulta ou exemplo orientativo
Execute somente em ambiente autorizado, com privilégios e ferramentas adequados. A saída depende da configuração da fonte.
resolvectl status
dig example.org A +noall +answer
dig example.org AAAA +noall +answerESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Um host resolve domínios de um fornecedor externo durante atualização automática e dispara heurística por novo destino.
Procedimento orientado
Colete consultas A e AAAA com TTL e fonte, confira registros do agente e conexões reais no firewall ou proxy.
Resultado esperado
A conclusão distingue resolução DNS de sessão estabelecida e cita evidências do processo que solicitou a consulta.
Cuidados adicionais
Cache e resolvedores intermediários podem fazer o sensor observar origem diferente do endpoint.
Limitações e interpretações incorretas
DNS over HTTPS, cache e intermediários podem reduzir cobertura. Um único nome pode resolver para múltiplos IPs, CDNs e serviços compartilhados. Sinalizar domínios como perigosos sem validação pode causar bloqueios de serviços legítimos.
Checklist de validação
- Separar cliente e resolvedor
- Registrar tipo e resposta
- Correlacionar conexões subsequentes
- Considerar cache e DoH
Referências técnicas
Guias para aprofundar
- jornada do log ate alerta — aguardando publicação editorial