¿Qué es el tunelado DNS?
El tunelado DNS consiste en ocultar datos u órdenes dentro de consultas DNS, las que hace cada dispositivo para convertir nombres en direcciones. Como casi todas las redes dejan pasar el DNS, los atacantes lo usan como canal: los datos se codifican en subdominios largos y de aspecto aleatorio de un dominio que controlan, y su servidor de nombres responde con instrucciones. Es lento, pero atraviesa cortafuegos que bloquean todo lo demás, y se usa tanto para mando y control como para robar datos en pequeñas porciones. Las señales son muchos subdominios únicos y largos bajo un mismo dominio, tipos de registro inusuales como TXT y un equipo que hace muchas más consultas DNS de lo normal. Obligar a todos los dispositivos a usar sus propios resolvedores y registrar sus consultas lo hace visible. NetSenX detecta el tunelado DNS; no ve las consultas que los dispositivos envían cifradas a resolvedores fuera de su red.
Siga leyendo
Preguntas relacionadas
- ¿Pueden robarse datos a través del DNS sin que nadie lo note?
- ¿Puede el malware esconderse en DNS sobre HTTPS, y lo seguiremos viendo?
- ¿Qué es la exfiltración lenta (low and slow) y cómo se detecta?
- ¿Por qué las alarmas sencillas de ancho de banda no detectan el robo de datos?
- ¿Qué aspecto tiene en la red la actividad de Cobalt Strike?
← Las 69 preguntas sobre Técnicas de ataque explicadasTodos los temas