Wie würdest du DNS Tunneling oder Command and Control über DNS erkennen?

Schau auf das Query-Verhalten statt auf einzelne Queries. Signale sind ungewöhnlich lange Subdomain-Labels oder solche mit hoher Entropie, ein hoher Anteil eindeutiger Subdomains unter einer Parent-Domain, TXT- oder NULL-Record-Typen in Menge, gleichmäßige Query-Intervalle statt menschlicher Schübe, und ein interner Host, der überproportional viel Query-Volumen erzeugt. Baseline pro Host und pro Domain, dann anreichern mit Domainalter und Registrierungsdaten.

Ich behandle es als Volumen- und Entropieproblem. Für jede Parent-Domain zähle ich eindeutige Subdomains pro Stunde und messe Labellänge und Zeichenentropie, denn Daten in einen Hostnamen zu kodieren erzeugt lange, zufällig aussehende Labels, die kein Mensch getippt hat. Ich schaue auch auf den Mix der Record-Typen, denn ein Schub von TXT- oder NULL-Queries sticht heraus, und auf das Timing, denn Implants beaconen in einem Intervall und Menschen nicht. Dann pro Host: eine Workstation, die das Zehnfache des DNS-Volumens ihrer Vergleichsgruppe produziert, ist für sich einen Blick wert. Der Haken ist, dass reichlich legitime Dienste genau so aussehen. Antivirus-Reputationsabfragen, Content Delivery Networks und manche Telemetrie-Agents erzeugen riesige Mengen zufälliger Subdomains, ich baseline und setze diese Parents also explizit über ihre bekannte Infrastruktur auf die Allowlist, nicht über ein Muster. Zur Bestätigung prüfe ich das Registrierungsalter, suche denselben Parent über mehrere Hosts hinweg und ziehe aus der Endpoint-Telemetrie den Prozess, der die Queries stellt, was es meistens in einer Minute klärt.