DNSトンネリングと情報窃取

DNSトンネリングは、DNSクエリと応答の中に任意のデータを符号化し、名前解決システムを秘密通信チャネルに変えます。ほぼすべてのネットワークでDNSの境界外への通信が許可されるため、データ窃取やコマンドアンドコントロール（C2）に好んで使われます。

ファイアウォールがそれ以外のすべてをブロックしていても、リゾルバーが応答し続けるなら、攻撃者はDNSを介して完全な双方向チャネルを構築できます。

攻撃者は、たとえばtunnel.evil.comのドメインに対する権威ネームサーバーを制御します。インプラントは、クエリのサブドメイン（左側のラベル）に外向きのデータを符号化します。

• データは<base32-chunk>.tunnel.evil.comとして送信されます。
• 権威サーバーは、TXT、CNAME、またはNULLレコード内に命令を返します。

各クエリと応答のペアには、小さなペイロードの断片が含まれます。

DNSラベルは大文字と小文字を区別せず、長さにも制限があるため、バイナリデータは通常Base32でエンコードします（Base64は大文字と小文字が混在し、安全でない文字も使用します）。考慮すべき制約は次のとおりです。

• 各ラベルは最大63文字です。
• 名前全体は最大255文字です。
• そのため、1回のクエリで運べるのは最大でも数百バイト程度です。

このスループットの低さにより、DNS経由の情報窃取は低速でクエリ数も多くなり、検知もしやすくなります。

異なるレコードタイプを使い分けることで、下り方向の容量を最大化します。

• TXT — 大容量の自由形式テキストペイロードに対応し、C2応答の主力となります。
• NULL — 生のバイト列を運ぶもので、iodineなどの古いツールで使われます。
• CNAME / MX — 中程度の容量で、正規のトラフィックに紛れ込みます。
• A / AAAA — 容量は小さいものの非常に一般的で目立ちにくいタイプです。

検知時に識別できるよう、次のような代表的なトンネリングユーティリティを把握しておきましょう。

• iodine — NULL/TXTレコードを使用するIP over DNSトンネルです。
• dnscat2 — DNS経由の暗号化C2チャネルです。
• DNSExfiltrator — 段階的にファイルを窃取します。
• Cobalt Strike DNSビーコン — レッドチーム活動や実際の侵入でよく使われます。

これらのツールには、特徴的なクエリパターンとエントロピーの特徴があります。

攻撃者はトンネルを調整します。低速・低頻度のプロファイルでは、ボリュームのしきい値を回避するために1分あたり数回だけクエリを送信します。これは、認証情報や鍵のような少量の秘密情報を密かに窃取するのに適しています。

高スループットのプロファイルでは、対話型C2や大量転送のためにクエリ数を最大化し、ステルス性と引き換えに速度を高めます。検知ロジックでは、両方の極端なパターンを捉える必要があります。

エンコードされたサブドメインはランダムな文字列のように見えるため、自然なドメイン名と比べてエントロピーが高くなります。ラベルごとにシャノンエントロピーを計算することは、有力なヒューリスティックです。

正規の名前は、発音しやすくエントロピーの低い文字列になる傾向があります。一方、xj4k9d2mq7zp1.tunnel.evil.comは目立ちます。サブドメインのエントロピーが調整済みのしきい値を超えるドメインを警告対象にします。

その他の行動指標は次のとおりです。

• 1台のホストから単一ドメインへのクエリ数が異常に多い。
• 255バイトの上限に近い長いクエリ名。
• TXTまたはNULLレコードの使用が不釣り合いに多い。
• 1つの親ドメイン配下に一意なサブドメインが多数ある（カーディナリティが高い）。
• 登録されたばかり、または評価の低いドメインへのクエリ。

エンドポイントがインターネット上のDNSサーバーと直接通信することは避けるべきです。すべてのクライアントを内部リゾルバー経由にし、ファイアウォールで外向きのUDP/TCP 53番ポートをブロックします。

これによりDNS通信を管理された集中ポイントに集約でき、そこでログ記録、検査、脅威インテリジェンスの適用を行えます。また、8.8.8.8のような外部リゾルバーをハードコードしたインプラントも機能しなくなります。

複数の制御を組み合わせて、トンネリングを阻止します。

• 名前解決を集中化し、外部への直接的な53番ポート通信をブロックします。
• 評判情報フィードを備えたDNSファイアウォール / RPZを導入します。
• エントロピー、クエリ長、NXDOMAIN率、ドメインごとのカーディナリティについて警告します。
• 可能な範囲でクエリをレート制限し、サイズに上限を設けます。
• トンネリングをHTTPS内に隠す、未知のエンドポイントへのDoH通信を監視します。

DNS over HTTPSはクエリをTLSで443番ポートへ送信するため、従来の53番ポート監視では何も検知できません。インプラントが不正なエンドポイントへのDoHを使用すると、パッシブDNSログから見えない形でデータをトンネリングできます。

承認済みのDoHリゾルバーにエンドポイントを固定し、管理対象デバイスでは既知のパブリックDoHのIPアドレスやホスト名をブロックし、TLS SNIと宛先の評判を検査することで緩和できます。

DNSトンネリングは、クエリのサブドメインと応答レコード（TXT、NULL、CNAME）を悪用して、情報窃取やC2のための秘密通信チャネルを作ります。スループットが低いため低速ですが、ステルス性に優れています。iodineやdnscat2などのツールは、特徴的なパターンを残します。

エントロピー、クエリ長、ボリューム、カーディナリティの分析で検知し、集中型リゾルバー、送信元フィルタリング、DNSファイアウォール/RPZ、DoHの制御で防止します。次は、DNSSECとフィルタリングが名前解決システム全体をどのように防御するかを見ていきます。