Como você detectaria tunelamento de DNS ou comando e controle sobre DNS?

Olhe o comportamento das consultas em vez de consultas isoladas. Os sinais incluem rótulos de subdomínio longos ou de alta entropia, uma proporção alta de subdomínios únicos sob um mesmo domínio pai, tipos de registro TXT ou NULL em volume, intervalos de consulta constantes em vez de rajadas humanas, e um host interno gerando volume desproporcional de consultas. Faça baseline por host e por domínio, e depois enriqueça com idade do domínio e dados de registro.

Eu trato como um problema de volume e entropia. Para cada domínio pai eu conto subdomínios distintos por hora e meço o comprimento do rótulo e a entropia de caracteres, porque codificar dados em um hostname produz rótulos longos e de aparência aleatória que nenhum humano digitou. Eu também olho a mistura de tipos de registro, já que uma rajada de consultas TXT ou NULL se destaca, e o tempo, porque implantes fazem beacon em intervalo e pessoas não. Depois por host: uma estação produzindo dez vezes o volume de DNS do grupo par dela vale um olhar por si só. O detalhe é que muitos serviços legítimos parecem exatamente assim. Consultas de reputação de antivírus, redes de distribuição de conteúdo e alguns agentes de telemetria geram números enormes de subdomínios aleatórios, então eu faço baseline e libero esses domínios pais explicitamente pela infraestrutura conhecida deles, e não por padrão. Para confirmar, eu confiro a idade de registro, procuro o mesmo domínio pai em vários hosts, e puxo o processo que faz as consultas na telemetria de endpoint, o que normalmente resolve em um minuto.