¿Cómo detectarías tunneling de DNS o comando y control sobre DNS?

Mira el comportamiento de las consultas más que las consultas sueltas. Entre las señales están las etiquetas de subdominio inusualmente largas o de alta entropía, una proporción alta de subdominios únicos bajo un mismo dominio padre, registros de tipo TXT o NULL en volumen, intervalos de consulta constantes en vez de ráfagas humanas, y un solo host interno generando un volumen desproporcionado. Haz línea base por host y por dominio, y luego enriquece con la antigüedad del dominio y sus datos de registro.

Lo trato como un problema de volumen y entropía. Para cada dominio padre cuento subdominios distintos por hora y mido la longitud de las etiquetas y la entropía de caracteres, porque codificar datos dentro de un hostname produce etiquetas largas y de aspecto aleatorio que ningún humano ha tecleado. También miro la mezcla de tipos de registro, ya que una ráfaga de consultas TXT o NULL destaca, y los tiempos, porque los implantes hacen beacon a intervalos y las personas no. Luego, por host: una estación de trabajo generando diez veces el volumen de DNS de su grupo equivalente merece un vistazo por sí sola. La pega es que muchos servicios legítimos se ven exactamente igual. Las consultas de reputación de los antivirus, las redes de distribución de contenido y algunos agentes de telemetría generan cantidades enormes de subdominios aleatorios, así que hago línea base y pongo esos padres en lista de permitidos de forma explícita por su infraestructura conocida y no por patrón. Para confirmar, reviso la antigüedad del registro, busco el mismo padre en varios hosts y saco de la telemetría de endpoint el proceso que hace las consultas, lo que suele zanjarlo en un minuto.