Czy złośliwe oprogramowanie może ukryć się w DNS over HTTPS i czy wciąż je zobaczymy?
Może, a widoczność spada. DNS over HTTPS (DoH) wysyła zapytania o nazwy w zwykłym szyfrowanym ruchu webowym do resolvera, często publicznego, więc Twój serwer DNS i jego logi ich nie widzą. Przeglądarki i niektóre systemy operacyjne mogą włączyć to same, a złośliwe oprogramowanie może tak ukryć zarówno swoje zapytania, jak i tunelowane dane. Co wciąż możesz zrobić: skonfigurować politykami przeglądarki i urządzenia tak, by używały Twojego resolvera, zablokować na firewallu znane publiczne resolvery DoH, jeśli pasuje to do Twojego środowiska, i sprawdzić każde urządzenie, które wysyła stały szyfrowany ruch do resolvera DoH, ignorując Twój serwer DNS. Sensor sieciowy widzi połączenie z resolverem, jego czas i wolumen, ale nie nazwy w środku. NetSenX nigdy nie odszyfrowuje ruchu, więc nie odczyta zapytań DoH; nadal może jednak wykryć wzorzec beaconingu.
Czytaj dalej
Powiązane pytania
- Czym jest powolne wyprowadzanie danych (low and slow) i jak się je wykrywa?
- Dlaczego proste alarmy przepustowości nie wychwytują kradzieży danych?
- Jak aktywność Cobalt Strike wygląda w sieci?
- Czy wewnętrzne skanowanie portów to znak obecności intruza?
- Jak się dowiedzieć, że ktoś zgaduje hasła w naszej sieci wewnętrznej?
← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy