Conceito e funcionamento
NXDOMAIN significa que o nome consultado não existe no contexto da resposta, não que o host esteja comprometido. Sequências de domínios variáveis podem ocorrer por algoritmos de geração de nomes, telemetria de softwares, buscas automáticas ou erros de sufixo. O contexto do resolvedor e da política de cache modifica o padrão observado.
Como investigar e correlacionar
Conte por host e janela, observe diversidade de rótulos, comprimento, distribuição de respostas e se há consultas associadas a conexão. Compare processos ou softwares autorizados, especialmente agentes e aplicações com failover. Teste hipóteses alternativas com amostras controladas e corroboração de endpoint.
ESTUDO DE CASO · CENÁRIO SINTÉTICO
Aplicação em uma investigação
Situação
Uma estação produz centenas de NXDOMAIN por erro de suffix search, imitando padrão de geração automática de domínios.
Procedimento orientado
Agrupe consultas por host, sufixo e intervalo e compare configuração DNS, software instalado e variação dos nomes.
Resultado esperado
O parecer explica hipótese benigno-operacional e quais sinais adicionais sustentariam investigação por DGA.
Cuidados adicionais
Volume de NXDOMAIN não demonstra exfiltração ou C2 sem correlação com outras fontes.
Limitações e interpretações incorretas
Um alto número de NXDOMAIN não comprova DGA. Captura parcial, múltiplos clientes sob o mesmo IP NAT ou filtros DNS podem distorcer a análise; subdomínios de telemetria legítima produzem padrões parecidos.
Checklist de validação
- Validar RCODE da resposta
- Agrupar por cliente real
- Comparar baseline da aplicação
- Buscar corroboracão no endpoint
Referências técnicas
Guias para aprofundar
- jornada do log ate alerta — aguardando publicação editorial