# ¿Puede el malware esconderse en DNS sobre HTTPS, y lo seguiremos viendo?

Puede, y la visibilidad baja. DNS sobre HTTPS (DoH) envía las consultas de nombres dentro de tráfico web cifrado corriente a un resolvedor, a menudo público, de modo que su propio servidor DNS y sus registros nunca las ven. Los navegadores y algunos sistemas operativos pueden activarlo por su cuenta, y el malware puede usarlo para ocultar tanto sus consultas como datos tunelados. Lo que sí puede hacer: configurar por directiva navegadores y dispositivos para que usen su propio resolvedor, bloquear en el cortafuegos los resolvedores DoH públicos conocidos cuando encaje con su entorno y revisar cualquier dispositivo que envíe tráfico cifrado constante a un resolvedor DoH ignorando su servidor DNS. Un sensor de red ve la conexión con el resolvedor, su ritmo y su volumen, pero no los nombres que lleva dentro. NetSenX nunca descifra el tráfico, así que no puede leer consultas DoH; aun así puede señalar el patrón de beaconing.

FAQ: [Técnicas de ataque explicadas](https://netsenx.com/es/faq/attacks) · https://netsenx.com/es/faq/can-malware-hide-in-dns-over-https

## Siga leyendo

- https://netsenx.com/es/detect-lateral-movement-c2-beaconing
- https://netsenx.com/es/is-someone-inside-your-network

## Preguntas relacionadas

- [¿Qué es la exfiltración lenta (low and slow) y cómo se detecta?](https://netsenx.com/es/faq/what-is-low-and-slow-data-exfiltration)
- [¿Por qué las alarmas sencillas de ancho de banda no detectan el robo de datos?](https://netsenx.com/es/faq/why-do-bandwidth-alarms-miss-data-theft)
- [¿Qué aspecto tiene en la red la actividad de Cobalt Strike?](https://netsenx.com/es/faq/what-does-cobalt-strike-look-like-on-the-network)
- [¿Es un escaneo de puertos interno señal de un intruso?](https://netsenx.com/es/faq/is-internal-port-scanning-a-sign-of-an-intruder)
- [¿Cómo sabemos si alguien está intentando adivinar contraseñas en nuestra red interna?](https://netsenx.com/es/faq/how-to-know-if-someone-is-guessing-passwords-internally)