Comment détecteriez-vous du tunneling DNS ou du commande et contrôle par DNS ?

Regardez le comportement des requêtes plutôt que les requêtes isolées. Les signaux comprennent des étiquettes de sous-domaine anormalement longues ou à forte entropie, un ratio élevé de sous-domaines uniques sous un même domaine parent, des types d'enregistrement TXT ou NULL en volume, des intervalles de requête réguliers plutôt que des rafales humaines, et un hôte interne qui génère un volume de requêtes disproportionné. Établissez une base de référence par hôte et par domaine, puis enrichissez avec l'âge et les données d'enregistrement du domaine.

Je le traite comme un problème de volume et d'entropie. Pour chaque domaine parent, je compte les sous-domaines distincts par heure et je mesure la longueur des étiquettes et l'entropie des caractères, parce qu'encoder des données dans un nom d'hôte produit des étiquettes longues qui ont l'air aléatoires et qu'aucun humain n'a tapées. Je regarde aussi le mélange de types d'enregistrement, puisqu'une rafale de requêtes TXT ou NULL ressort, et le rythme, parce qu'un implant balise à intervalle régulier et pas les gens. Puis par hôte : un poste qui produit dix fois le volume DNS de son groupe de pairs mérite un coup d'oeil à lui seul. Le piège, c'est que beaucoup de services légitimes ressemblent exactement à ça. Les recherches de réputation antivirus, les réseaux de diffusion de contenu et certains agents de télémétrie génèrent d'énormes quantités de sous-domaines aléatoires, donc je fais une base de référence et je mets ces parents en liste d'autorisation explicitement par leur infrastructure connue plutôt que par motif. Pour confirmer, je vérifie l'âge d'enregistrement, je cherche le même parent sur plusieurs hôtes, et je récupère le processus qui fait les requêtes depuis la télémétrie de poste, ce qui règle en général la question en une minute.