Qu'est-ce que le tunnelling de protocole ?

Le tunnelling de protocole consiste à cacher un type de trafic dans un autre pour franchir les pare-feu et paraître anodin : des commandes ou des données volées enveloppées dans des requêtes DNS, des requêtes web ordinaires, des pings ICMP ou une connexion SSH. Les attaquants s'en servent pour garder un canal de commande ouvert quand les connexions directes sont bloquées, ou pour atteindre des systèmes internes via un seul hôte compromis. Il se manifeste par des protocoles au comportement étrange : des requêtes DNS aux noms longs et aléatoires, des pings transportant bien plus de données que d'habitude, une session SSH qui dure des jours et déplace beaucoup de données, ou un hôte qui relaie des connexions pour d'autres. Limitez les protocoles autorisés à sortir du réseau et les hôtes concernés, et faites passer le DNS par vos propres résolveurs. NetSenX détecte le tunnelling DNS ainsi que le beaconing et les volumes sortants inhabituels dans chaque offre ; il ne déchiffre jamais le trafic, si bien qu'un tunnel chiffré est jugé sur son schéma.

← Les 69 questions sur Les techniques d'attaque expliquéesTous les thèmes