Che cos'è il tunneling DNS?
Il tunneling DNS consiste nel nascondere dati o comandi dentro le interrogazioni DNS, quelle che ogni dispositivo fa per trasformare i nomi in indirizzi. Poiché quasi ogni rete lascia passare il DNS, gli attaccanti lo usano come canale: i dati vengono codificati in lunghi sottodomini dall'aspetto casuale di un dominio che controllano, e il loro name server risponde con istruzioni. È lento, ma attraversa firewall che bloccano tutto il resto, e serve sia per il command and control sia per rubare dati a piccoli pezzi. I segnali sono molti sottodomini unici e lunghi sotto uno stesso dominio, tipi di record insoliti come TXT e un host che fa molte più interrogazioni DNS del normale. Imporre a tutti i dispositivi l'uso dei Suoi resolver e registrarne le interrogazioni lo rende visibile. NetSenX rileva il tunneling DNS; non vede le interrogazioni che i dispositivi inviano cifrate a resolver esterni alla Sua rete.
Da leggere dopo
Domande correlate
- I dati possono essere rubati tramite DNS senza che nessuno se ne accorga?
- Un malware può nascondersi nel DNS over HTTPS, e possiamo ancora vederlo?
- Che cos'è l'esfiltrazione lenta (low and slow), e come si rileva?
- Perché i semplici allarmi sulla banda non vedono il furto di dati?
- Che aspetto ha in rete l'attività di Cobalt Strike?
← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi