DNS-Tunneling und Exfiltration

DNS-Tunneling kodiert beliebige Daten in DNS-Abfragen und -Antworten und macht das Namenssystem zu einem verdeckten Kommunikationskanal. Da DNS in nahezu jedem Netzwerk den Perimeter verlassen darf, ist es ein bevorzugter Weg für Datenexfiltration und Command-and-Control (C2).

Wenn Ihre Firewall alles blockiert, der Resolver aber weiterhin antwortet, können Angreifer einen vollständigen bidirektionalen Kanal durch DNS leiten.

Der Angreifer kontrolliert den autoritativen Nameserver für eine Domain, beispielsweise tunnel.evil.com. Das Implantat kodiert ausgehende Daten in der Subdomain (dem linken Label) der Abfragen:

• Daten werden als <base32-chunk>.tunnel.evil.com übertragen.
• Der autoritative Server gibt Anweisungen in TXT-, CNAME- oder NULL-Records zurück.

Jedes Abfrage-/Antwortpaar enthält einen kleinen Nutzdatenblock.

DNS-Labels unterscheiden nicht zwischen Groß- und Kleinschreibung und sind in ihrer Länge begrenzt. Daher werden Binärdaten meist mit Base32 kodiert (Base64 unterscheidet Groß- und Kleinschreibung und verwendet unsichere Zeichen). Zu beachtende Einschränkungen:

• Jedes Label darf bis zu 63 Zeichen umfassen.
• Der gesamte Name darf bis zu 255 Zeichen umfassen.
• Daher enthält jede Abfrage höchstens wenige hundert Byte.

Dieser geringe Durchsatz ist der Grund dafür, dass die Exfiltration über DNS langsam ist und viele Abfragen erzeugt, wodurch sie zugleich erkennbar wird.

Verschiedene Record-Typen maximieren die Kapazität in Richtung Client:

• TXT — große Freitext-Nutzdaten, das Arbeitspferd für C2-Antworten.
• NULL — rohe Bytes, verwendet von älteren Tools wie iodine.
• CNAME / MX — mittlere Kapazität, fügt sich in legitimen Datenverkehr ein.
• A / AAAA — geringe Kapazität, aber sehr häufig und unauffällig.

Bekannte Tunneling-Tools, die Sie bei Erkennungen kennen sollten:

• iodine — IP-over-DNS-Tunnel mit NULL-/TXT-Records.
• dnscat2 — verschlüsselter C2-Kanal über DNS.
• DNSExfiltrator — stufenweise Datei-Exfiltration.
• Cobalt Strike DNS-Beacon — häufig bei Red Teams und realen Angriffen.

Diese Tools weisen erkennbare Abfragemuster und Entropiesignaturen auf.

Angreifer passen den Tunnel an: Ein Low-and-slow-Profil sendet nur wenige Abfragen pro Minute, um Volumenschwellenwerte zu umgehen. Es eignet sich für die unauffällige Exfiltration kleiner Geheimnisse wie Zugangsdaten oder Schlüssel.

Ein High-throughput-Profil maximiert die Anzahl der Abfragen für interaktives C2 oder umfangreiche Übertragungen und tauscht dabei Unauffälligkeit gegen Geschwindigkeit. Die Erkennungslogik muss beide Extreme erfassen.

Kodierte Subdomains sehen wie zufällige Zeichenfolgen aus und haben daher im Vergleich zu natürlichen Domainnamen eine hohe Entropie. Die Berechnung der Shannon-Entropie pro Label ist eine zuverlässige Heuristik.

Legitime Namen tendieren zu aussprechbaren Zeichenfolgen mit geringer Entropie; xj4k9d2mq7zp1.tunnel.evil.com fällt auf. Kennzeichnen Sie Domains, deren Subdomain-Entropie einen abgestimmten Schwellenwert überschreitet.

Weitere Verhaltensindikatoren:

• Ungewöhnlich hohe Abfrageanzahl an eine einzelne Domain von einem Host.
• Lange Abfragenamen, die sich der 255-Byte-Grenze nähern.
• Überproportional häufige Verwendung von TXT- oder NULL-Records.
• Viele eindeutige Subdomains unter einer übergeordneten Domain (hohe Kardinalität).
• Abfragen an eine junge Domain mit geringer Reputation.

Endpunkte sollten niemals direkt per DNS mit dem Internet kommunizieren. Leiten Sie alle Clients über interne Resolver und blockieren Sie ausgehenden UDP-/TCP-Port 53 an der Firewall.

Dadurch wird DNS an einem kontrollierten Engpass gebündelt, an dem Sie Protokolle führen, den Datenverkehr untersuchen und Threat Intelligence anwenden können. Außerdem werden Implantate blockiert, die externe Resolver wie 8.8.8.8 fest einprogrammiert haben.

Kombinieren Sie Kontrollen, um Tunneling zu unterbinden:

• Zentralisieren Sie die Namensauflösung und blockieren Sie den direkten externen Zugriff auf Port 53.
• Setzen Sie eine DNS-Firewall / RPZ mit Reputations-Feeds ein.
• Lösen Sie Alarme bei Entropie, Abfragelänge, NXDOMAIN-Rate und Kardinalität pro Domain aus.
• Begrenzen Sie nach Möglichkeit die Abfragerate und die Abfragegröße.
• Achten Sie auf DoH zu unbekannten Endpunkten, da dadurch Tunneling in HTTPS verborgen wird.

DNS over HTTPS kapselt Abfragen in TLS auf 443, sodass die herkömmliche Überwachung von Port 53 nichts erkennt. Ein Implantat, das DoH zu einem nicht vertrauenswürdigen Endpunkt verwendet, kann Daten für die passive DNS-Protokollierung unsichtbar tunneln.

Begrenzen Sie das Risiko, indem Sie Endpunkte auf einen genehmigten DoH-Resolver festlegen, bekannte öffentliche DoH-IP-Adressen und -Hostnamen auf verwalteten Geräten blockieren und die Reputation von TLS-SNI und Ziel überprüfen.

DNS-Tunneling missbraucht Abfrage-Subdomains und Antwort-Records (TXT, NULL, CNAME), um einen verdeckten Kanal für Exfiltration und C2 zu schaffen. Der Durchsatz ist gering, wodurch der Kanal langsam, aber unauffällig ist. Tools wie iodine und dnscat2 hinterlassen erkennbare Muster.

Erkennen Sie solche Aktivitäten mit Analysen von Entropie, Abfragelänge, Volumen und Kardinalität. Verhindern Sie sie mit zentralisierten Resolvern, Egress-Filtering, DNS-Firewalls/RPZ und der Kontrolle von DoH. Als Nächstes geht es darum, wie DNSSEC und Filterung das Namenssystem als Ganzes schützen.