Tunneling DNS.

Canal cache qui encode des donnees arbitraires dans des requetes et reponses DNS sur UDP/TCP port 53, frequemment utilise pour le C2 et l'exfiltration de donnees. Cette notion relève de la catégorie Sécurité réseau en cybersécurité.

Canal cache qui encode des donnees arbitraires dans des requetes et reponses DNS sur UDP/TCP port 53, frequemment utilise pour le C2 et l'exfiltration de donnees.

Le tunneling DNS exploite le fait que le trafic DNS (UDP/TCP port 53) est presque toujours autorise et rarement inspecte en profondeur. Le malware encode les octets de sa charge dans des labels de sous-domaine (par exemple des morceaux base32 sous attacker.example.com) et le serveur autoritaire de l'attaquant repond avec des enregistrements TXT, CNAME ou NULL contenant la reponse ou les commandes. Des outils comme dnscat2, Iodine ou le C2 DNS de Cobalt Strike utilisent ce schema. Le debit est faible mais furtif. La detection s'appuie sur un taux de requetes par hote eleve, des labels anormalement longs, une forte entropie des sous-domaines, des motifs base64/hex, des types d'enregistrement atypiques et des flux de threat intel. Les defenses incluent un proxy DNS, le sinkholing, des limites de debit, l'analytique d'anomalies en EDR/NDR et le blocage des resolveurs DNS inconnus en sortie.

Les défenses contre Tunneling DNS combinent habituellement des contrôles techniques et des pratiques opérationnelles, comme détaillé dans la définition ci-dessus.

Noms alternatifs courants : DNS C2, Exfiltration par DNS.