# Export de la sonde DNS passive - port miroir (SPAN) du commutateur coeur - rrtype=TXT
# Réseau interne 10.0.0.0/24 - filtre appliqué : QTYPE=TXT
# La sonde est branchée sur le coeur de réseau : elle voit TOUT le trafic DNS,
# y compris les requêtes internes vers 10.0.0.2 et celles qui contournent ce résolveur.
# Chaque ligne = une requête TXT observée et la valeur retournée dans la réponse.
# Colonnes : date heure  client  ->  serveur_DNS  TXT  <nom>  "<valeur_retournée>"
# Généré le 2026-10-06 08:20 CEST par l'équipe SOC (ticket SOC-20261006-114)
#
# Note analyste : volume anormal de requêtes TXT depuis 10.0.0.37 vers un
# domaine externe inconnu, EN CONTOURNANT le résolveur interne (10.0.0.2).
# À investiguer : canal caché DNS (tunnel/C2) - charge reçue via des TXT.

2026-10-06 08:11:02     10.0.0.37  ->  10.0.0.2         TXT  www.corp-nimbus.example.  "v=spf1 include:_spf.corp-nimbus.example include:_spf.mail-relay.example -all"
2026-10-06 08:11:47     10.0.0.21  ->  10.0.0.2         TXT  corp-nimbus.example.  "google-site-verification=7cQ2mR0pYt3vK9wAeLsfN1oUjZ4hBxD6"
2026-10-06 08:12:13     10.0.0.37  ->  198.51.100.200   TXT  chunk-3-of-4.maj-cdn-logiciel.example.  "dHVuX"
2026-10-06 08:12:29     10.0.0.44  ->  10.0.0.2         TXT  corp-nimbus.example.  "MS=ms-authn-3918274650"
2026-10-06 08:12:55     10.0.0.37  ->  198.51.100.200   TXT  chunk-1-of-4.maj-cdn-logiciel.example.  "Q1NBe2R"
2026-10-06 08:13:10     10.0.0.21  ->  10.0.0.2         TXT  selector1._domainkey.corp-nimbus.example.  "v=DKIM1; k=rsa; p=MIGfMA0GCSqGSIb3DQEBAQUAA4GNADCBiQKBgQDTgXuQlLrQuamnHcVUV6FWWWcSMwnPBB97Y/gmXUXKYb74a3Jmcr4LNX1GBwlRQAOsAXLS/JuzY+iAp323jBlrYeTek+MhNqmW332Cty5r3T7wW/RYNdzDgtob4VdQ09UvNwlHgzzQRrsVlac/jzwAznzfuHVq+ujnKJXfUV8AawIDAQAB"
2026-10-06 08:13:41     10.0.0.37  ->  198.51.100.200   TXT  chunk-4-of-4.maj-cdn-logiciel.example.  "3I3Y30="
2026-10-06 08:14:02     10.0.0.50  ->  10.0.0.2         TXT  _dmarc.corp-nimbus.example.  "v=DMARC1; p=quarantine; rua=mailto:dmarc@corp-nimbus.example; fo=1"
2026-10-06 08:14:28     10.0.0.37  ->  198.51.100.200   TXT  chunk-2-of-4.maj-cdn-logiciel.example.  "uc190eHRf"
2026-10-06 08:15:06     10.0.0.21  ->  10.0.0.2         TXT  corp-nimbus.example.  "apple-domain-verification=Xp9Lm2Qr8Tv0Kd4N"
2026-10-06 08:15:33     10.0.0.37  ->  198.51.100.200   TXT  status.maj-cdn-logiciel.example.  "ok"
2026-10-06 08:16:12     10.0.0.60  ->  10.0.0.2         TXT  atlassian-domain-verification.corp-nimbus.example.  "atlassian-domain-verification=R3dHj8kLmN0pQ2sT4uV6wX8yZ1aB3cD5"