Czy dane mogą zostać skradzione przez DNS tak, że nikt tego nie zauważy?
Tak, jeśli nikt nie przygląda się DNS. Dane wychodzące w zapytaniach DNS nie wyglądają jak duża wysyłka, bo każde zapytanie niesie tylko kilkadziesiąt bajtów, a wiele firewalli przepuszcza DNS bez kontroli. Widać je we wzorcu: jeden host wysyła tysiące zapytań o subdomeny tej samej nieznanej domeny, z długimi, losowo wyglądającymi nazwami, które nigdy się nie powtarzają, często w stałym tempie. By to zobaczyć, pozwól urządzeniom korzystać wyłącznie z Twoich resolverów DNS, zablokuj na firewallu bezpośredni DNS do internetu, przechowuj logi resolverów i przeglądaj domeny z nietypowo wieloma unikalnymi subdomenami. Usługi filtrowania DNS dodają listy znanych domen tunelujących. NetSenX wykrywa tunelowanie DNS w monitorowanych segmentach; inne techniki oparte na DNS, takie jak domeny generowane algorytmicznie, nie należą dziś do tego, o czym alarmuje.
Czytaj dalej
Powiązane pytania
- Czy złośliwe oprogramowanie może ukryć się w DNS over HTTPS i czy wciąż je zobaczymy?
- Czym jest powolne wyprowadzanie danych (low and slow) i jak się je wykrywa?
- Dlaczego proste alarmy przepustowości nie wychwytują kradzieży danych?
- Jak aktywność Cobalt Strike wygląda w sieci?
- Czy wewnętrzne skanowanie portów to znak obecności intruza?
← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy