Czym jest tunelowanie DNS?
Tunelowanie DNS to ukrywanie danych lub poleceń w zapytaniach DNS, czyli w zapytaniach, które każde urządzenie wysyła, by zamienić nazwy na adresy. Ponieważ prawie każda sieć przepuszcza DNS, napastnicy używają go jako kanału: dane są kodowane w długich, losowo wyglądających subdomenach domeny, którą kontrolują, a ich serwer nazw odpowiada poleceniami. To wolne, ale przechodzi przez firewalle, które blokują wszystko inne, i służy zarówno do dowodzenia i kontroli, jak i do kradzieży danych małymi porcjami. Oznaki to wiele unikalnych, długich subdomen jednej domeny, nietypowe typy rekordów, takie jak TXT, i host wysyłający znacznie więcej zapytań DNS niż zwykle. Wymuszenie korzystania przez wszystkie urządzenia z Twoich własnych resolverów i logowanie ich zapytań czyni to widocznym. NetSenX wykrywa tunelowanie DNS; nie widzi zapytań, które urządzenia wysyłają w postaci zaszyfrowanej do resolverów poza Twoją siecią.
Czytaj dalej
Powiązane pytania
- Czy dane mogą zostać skradzione przez DNS tak, że nikt tego nie zauważy?
- Czy złośliwe oprogramowanie może ukryć się w DNS over HTTPS i czy wciąż je zobaczymy?
- Czym jest powolne wyprowadzanie danych (low and slow) i jak się je wykrywa?
- Dlaczego proste alarmy przepustowości nie wychwytują kradzieży danych?
- Jak aktywność Cobalt Strike wygląda w sieci?
← Wszystkie pytania (69): Techniki ataków w prostych słowachWszystkie tematy