Die erste Stufe der Unterscheidung, bevor ein Log mir Sinn ergibt:

Wer stellt die Anfrage (Intern oder Extern, Internet oder Intranet)
Wem wird die Anfrage gestellt?
Wie sieht die Topologie der Anfrage aus? (vertikal oder leteral)

Die Frage ist: Ist die Anfrage normal, oder anormal?

Das genaue Bild zeigt die Kapselung der Pakete in den Paketen. (ICMP (DNS(TCP)))
Eine kurzer Dive in das DNS Paket -> mgl. Anomalie, subdomain (txt/ch) Transport?

Überprüfe ARP Request, DNS Request, TCP (flags) -> Paket Längen (LEN=0?)

Welche IP loggt die Firewall? Client Host oder Gateway? Gateway = Fehl config!
!!!Origin requester erzählt die Wahrheit, nicht der Vermittler!!!

ARP -> Broadcast -> Wem gehört die IP? | Tell -> MAC Adresse

MAC -> Osi Layer 2 -> Network Layer -> Fixed to Hardware -> Dialog mit Ziel!

MULTIPLE DNS REQUEST -> Potenziell partiell Tunelling -> Übermittlung (TXT/SSH etc.) innerhalb subdomain.

subdomain Suggestion -> nicht existente subdomains -> vererben Trust von Domain.

DNS Request -> Stiefkind -> IPS pot. Irrelevant