Kann sich Schadsoftware in DNS over HTTPS verstecken, und sehen wir sie dann noch?
Sie kann, und die Sichtbarkeit sinkt. DNS over HTTPS (DoH) schickt Namensabfragen in gewöhnlichem verschlüsseltem Webverkehr an einen Resolver, oft einen öffentlichen, sodass Ihr eigener DNS-Server und seine Logs sie nie sehen. Browser und manche Betriebssysteme können es von selbst einschalten, und Schadsoftware kann damit sowohl ihre Abfragen als auch getunnelte Daten verbergen. Was Sie trotzdem tun können: Browser und Geräte per Richtlinie auf Ihren eigenen Resolver einstellen, bekannte öffentliche DoH-Resolver an der Firewall sperren, wo das zu Ihrer Umgebung passt, und jedem Gerät nachgehen, das gleichmäßigen verschlüsselten Verkehr an einen DoH-Resolver schickt und Ihren DNS-Server ignoriert. Ein Netzwerksensor sieht die Verbindung zum Resolver, Zeitverlauf und Menge, aber nicht die Namen darin. NetSenX entschlüsselt nie Verkehr und kann DoH-Abfragen daher nicht lesen; das Beaconing-Muster kann es trotzdem erkennen.
Weiterlesen
Verwandte Fragen
- Was ist langsame Datenexfiltration (Low and Slow), und wie wird sie erkannt?
- Warum übersehen einfache Bandbreitenalarme Datendiebstahl?
- Wie sieht Cobalt-Strike-Aktivität im Netz aus?
- Sind interne Portscans ein Zeichen für einen Eindringling?
- Woran erkennen wir, dass jemand in unserem internen Netz Passwörter rät?