DNS-туннелирование.

Скрытый канал, кодирующий произвольные данные в DNS-запросах и ответах на UDP/TCP-порту 53; часто используется для C2 и эксфильтрации. Относится к категории Сетевая безопасность в кибербезопасности.

Скрытый канал, кодирующий произвольные данные в DNS-запросах и ответах на UDP/TCP-порту 53; часто используется для C2 и эксфильтрации.

DNS-туннелирование злоупотребляет тем, что трафик DNS (UDP/TCP-порт 53) почти везде разрешён и редко глубоко проверяется. Вредоносное ПО кодирует байты полезной нагрузки в метках поддоменов (например, base32-фрагменты внутри attacker.example.com), а авторитетный сервер злоумышленника отвечает записями TXT, CNAME или NULL, содержащими ответ или команды. Этот приём используют dnscat2, Iodine и DNS-C2 в Cobalt Strike. Пропускная способность невелика, но канал скрытен. Обнаружение опирается на высокую частоту запросов с хоста, необычно длинные метки, высокую энтропию поддоменов, шаблоны base64/hex, нетипичные типы записей и TI-фиды. Защита включает DNS-прокси, sinkhole, ограничение скорости запросов, аналитику аномалий в EDR/NDR и блокировку неизвестных DNS-резолверов на исходящем межсетевом экране.

Защита от DNS-туннелирование обычно сочетает технические меры и операционные практики, как описано в определении выше.

Распространённые альтернативные названия: DNS C2, Эксфильтрация через DNS.