Che cos'è il tunneling di protocollo?

Il tunneling di protocollo consiste nel nascondere un tipo di traffico dentro un altro, perché superi i firewall e sembri innocuo: comandi o dati rubati avvolti in interrogazioni DNS, in normali richieste web, in ping ICMP o in una connessione SSH. Gli attaccanti lo usano per tenere aperto un canale di comando quando le connessioni dirette sono bloccate, o per raggiungere sistemi interni attraverso un unico host compromesso. Si manifesta in protocolli che si comportano in modo strano: interrogazioni DNS con nomi lunghi e casuali, ping che trasportano molti più dati del solito, una sessione SSH che dura giorni e muove molti dati, o un host che inoltra connessioni per altri. Limiti quali protocolli possono uscire dalla rete e da quali host, e obblighi il DNS a passare dai Suoi resolver. NetSenX rileva il tunneling DNS e segnala beaconing e volumi in uscita insoliti in ogni piano; non decifra mai il traffico, quindi un tunnel cifrato viene valutato dal suo schema.

← Tutte le 69 domande su Tecniche di attacco spiegateTutti i temi