Introducción

Este documento describe por qué los dominios pueden marcarse como recién vistos en Umbrella, incluso si han sido categorizados previamente.

Overview

Se puede conceder acceso a un dominio antes de que se dé cuenta de que se ha categorizado como dominio visto recientemente (NSD). Debido a la gran escala de los registros de Umbrella DNS, los dominios no se procesan en el mismo sistema dedicado a identificar dominios recién vistos. En su lugar, usamos datos de ejemplo para categorizar la mayoría de los nuevos dominios de manera oportuna. Sin embargo, para dominios con volúmenes de consulta muy bajos, su categorización puede retrasarse porque estas consultas no aparecen en el conjunto de datos de ejemplo. Para determinar si un dominio tiene un volumen muy bajo, puede utilizar la función Investigar > Smart Search en el panel de Umbrella. El bloqueo de NSD puede causar interrupciones, ya que un NSD no indica necesariamente actividad maliciosa.

Alerta de falsos positivos generada para dominios recién vistos

Los dominios que ya se han clasificado pueden marcarse repentinamente como un NSD. Los dominios recién vistos se descubren memorizando las consultas DNS que nuestros clientes ejecutaron previamente en una base de datos. Si un dominio no existe en la base de datos de NSD, se marca como recién visto. Sin embargo, los registros de consultas utilizados para crear la base de datos de NSD son objeto de un gran número de muestras y pueden marcar erróneamente un dominio como recién visto, incluso si el dominio ha estado en uso durante algún tiempo. Por ejemplo, si el dominio "www.example.com" ya estaba en uso pero se marcó recientemente como recién visto, es posible que se haya perdido en muestras anteriores y se haya marcado el dominio como un NSD.