Qu'est-ce que le tunnelling DNS ?

Le tunnelling DNS consiste à cacher des données ou des commandes dans des requêtes DNS, celles que chaque appareil émet pour transformer des noms en adresses. Comme presque tous les réseaux laissent passer le DNS, les attaquants s'en servent comme canal : les données sont encodées dans de longs sous-domaines d'apparence aléatoire d'un domaine qu'ils contrôlent, et leur serveur de noms répond avec des instructions. C'est lent, mais cela franchit des pare-feu qui bloquent tout le reste, et cela sert aussi bien au commandement et contrôle qu'au vol de données par petits morceaux. Les signes sont de nombreux sous-domaines uniques et longs sous un même domaine, des types d'enregistrement inhabituels comme TXT, et un hôte qui émet bien plus de requêtes DNS que d'habitude. Imposer à tous les appareils vos propres résolveurs et journaliser leurs requêtes rend le phénomène visible. NetSenX détecte le tunnelling DNS ; il ne voit pas les requêtes que des appareils envoient chiffrées à des résolveurs extérieurs à votre réseau.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes