Können Daten über DNS gestohlen werden, ohne dass es jemand merkt?
Ja, wenn niemand auf DNS achtet. Daten, die über DNS-Abfragen abfließen, erscheinen nicht als großer Upload, weil jede Abfrage nur einige Dutzend Bytes trägt, und viele Firewalls lassen DNS ohne Prüfung durch. Sichtbar wird es im Muster: Ein Host stellt Tausende Abfragen nach Subdomains derselben unbekannten Domain, mit langen, zufällig wirkenden Namen, die sich nie wiederholen, oft in gleichmäßigem Takt. Um es sichtbar zu machen, lassen Sie Geräte nur Ihre eigenen DNS-Resolver nutzen, sperren Sie direktes DNS ins Internet an der Firewall, bewahren Sie Resolver-Logs auf und prüfen Sie Domains mit ungewöhnlich vielen eindeutigen Subdomains. DNS-Filterdienste ergänzen Sperrlisten bekannter Tunneling-Domains. NetSenX erkennt DNS-Tunneling in überwachten Segmenten; andere DNS-basierte Techniken wie algorithmisch erzeugte Domains gehören heute nicht zu dem, wobei es Alarm schlägt.
Weiterlesen
Verwandte Fragen
- Kann sich Schadsoftware in DNS over HTTPS verstecken, und sehen wir sie dann noch?
- Was ist langsame Datenexfiltration (Low and Slow), und wie wird sie erkannt?
- Warum übersehen einfache Bandbreitenalarme Datendiebstahl?
- Wie sieht Cobalt-Strike-Aktivität im Netz aus?
- Sind interne Portscans ein Zeichen für einen Eindringling?