# Un malware può nascondersi nel DNS over HTTPS, e possiamo ancora vederlo?

Può, e la visibilità cala. Il DNS over HTTPS (DoH) invia le interrogazioni dei nomi dentro il normale traffico web cifrato verso un resolver, spesso pubblico, così il Suo server DNS e i suoi log non le vedono mai. Browser e alcuni sistemi operativi possono attivarlo da soli, e un malware può usarlo per nascondere sia le proprie interrogazioni sia dati in tunnel. Che cosa può ancora fare: configurare tramite policy browser e dispositivi perché usino il Suo resolver, bloccare sul firewall i resolver DoH pubblici noti dove ciò si adatta al Suo ambiente, ed esaminare ogni dispositivo che invia traffico cifrato costante verso un resolver DoH ignorando il Suo server DNS. Un sensore di rete vede la connessione al resolver, i tempi e il volume, ma non i nomi al suo interno. NetSenX non decifra mai il traffico, quindi non può leggere le interrogazioni DoH; può comunque segnalare lo schema di beaconing.

FAQ: [Tecniche di attacco spiegate](https://netsenx.com/it/faq/attacks) · https://netsenx.com/it/faq/can-malware-hide-in-dns-over-https

## Da leggere dopo

- https://netsenx.com/it/detect-lateral-movement-c2-beaconing
- https://netsenx.com/it/is-someone-inside-your-network

## Domande correlate

- [Che cos'è l'esfiltrazione lenta (low and slow), e come si rileva?](https://netsenx.com/it/faq/what-is-low-and-slow-data-exfiltration)
- [Perché i semplici allarmi sulla banda non vedono il furto di dati?](https://netsenx.com/it/faq/why-do-bandwidth-alarms-miss-data-theft)
- [Che aspetto ha in rete l'attività di Cobalt Strike?](https://netsenx.com/it/faq/what-does-cobalt-strike-look-like-on-the-network)
- [Una scansione interna delle porte è il segno di un intruso?](https://netsenx.com/it/faq/is-internal-port-scanning-a-sign-of-an-intruder)
- [Come capiamo se qualcuno sta tentando di indovinare password nella nostra rete interna?](https://netsenx.com/it/faq/how-to-know-if-someone-is-guessing-passwords-internally)