DNS-Tunneling.

Verdeckter Kanal, der beliebige Daten in DNS-Abfragen und -Antworten auf UDP/TCP-Port 53 kodiert und haufig fur Command-and-Control sowie Datenexfiltration genutzt wird. Es gehört zur Kategorie Netzwerksicherheit der Cybersicherheit.

Verdeckter Kanal, der beliebige Daten in DNS-Abfragen und -Antworten auf UDP/TCP-Port 53 kodiert und haufig fur Command-and-Control sowie Datenexfiltration genutzt wird.

DNS-Tunneling missbraucht, dass DNS-Verkehr (UDP/TCP-Port 53) fast uberall erlaubt und selten tief inspiziert ist. Malware kodiert Nutzdaten in Subdomain-Labels (etwa Base32-Stucke unter attacker.example.com); der autoritative Server des Angreifers antwortet mit TXT-, CNAME- oder NULL-Records, die die Antwort oder Befehle enthalten. Werkzeuge wie dnscat2, Iodine oder das DNS-C2 von Cobalt Strike nutzen dieses Muster. Die Bandbreite ist gering, dafur tarnt es sich gut. Erkennung setzt auf hohe Anfragerate pro Host, ungewohnlich lange Labels, hohe Subdomain-Entropie, Base64-/Hex-Muster, untypische Record-Typen und Threat-Intel-Feeds. Schutz bieten DNS-Proxying, Sinkholing, Query-Rate-Limits, Anomalie-Analytics in EDR/NDR und das Blockieren unbekannter DNS-Resolver am Egress.

Schutzmaßnahmen gegen DNS-Tunneling kombinieren typischerweise technische Kontrollen und operative Praktiken, wie in der Definition oben beschrieben.

Übliche alternative Bezeichnungen: DNS-C2, DNS-Exfiltration.