DNS tunneling या DNS पर चलने वाला command and control आप कैसे पकड़ेंगे?

अकेली query के बजाय query के व्यवहार को देखें। संकेतों में शामिल हैं असामान्य रूप से लंबे या ऊंची entropy वाले subdomain label, एक ही parent domain के नीचे unique subdomain का ऊंचा अनुपात, बड़ी मात्रा में TXT या NULL record type, इंसानी झोंकों के बजाय एक जैसा query अंतराल, और एक ही अंदरूनी host का बेतुका ज्यादा query volume। हर host और हर domain के लिए baseline बनाएं, फिर domain की उम्र और registration डेटा से उसे समृद्ध करें।

मैं इसे volume और entropy की समस्या मानता हूं। हर parent domain के लिए मैं प्रति घंटा अलग subdomain गिनता हूं और label की लंबाई तथा character entropy नापता हूं, क्योंकि किसी hostname में डेटा encode करने से लंबे और random दिखने वाले label बनते हैं जो कोई इंसान टाइप नहीं करता। मैं record type के मेल पर भी नजर डालता हूं, क्योंकि TXT या NULL query का झोंका अलग दिखता है, और timing पर भी, क्योंकि implant एक अंतराल पर beacon करते हैं और लोग नहीं करते। फिर हर host के लिए: एक workstation जो अपने साथी समूह से दस गुना DNS volume पैदा कर रहा हो, वह अकेले ही देखने लायक है। पेच यह है कि बहुत सी जायज services बिल्कुल ऐसी ही दिखती हैं। antivirus की reputation lookup, content delivery network और कुछ telemetry agent बेहद बड़ी संख्या में random subdomain बनाते हैं, इसलिए मैं baseline बनाता हूं और उन parent को pattern के बजाय उनके ज्ञात infrastructure से साफ साफ allow list करता हूं। पुष्टि के लिए मैं registration की उम्र देखता हूं, वही parent कई host पर दिख रहा है या नहीं देखता हूं, और endpoint telemetry से वह process निकालता हूं जो query कर रहा है, जो आमतौर पर एक मिनट में मामला निपटा देता है।