Terowong DNS dan Penyaringan Keluar

Label DNS tidak peka huruf besar dan kecil serta mempunyai panjang terhad, jadi data binari biasanya dikodkan menggunakan Base32 (Base64 mencampurkan huruf besar dan kecil serta menggunakan aksara yang tidak selamat). Kekangan yang perlu dipatuhi:

• Setiap label maksimum 63 aksara.
• Nama keseluruhan maksimum 255 aksara.
• Oleh itu, setiap pertanyaan hanya membawa paling banyak beberapa ratus bait.

Kadar pemindahan yang rendah ini menyebabkan pengekstrakan melalui DNS menjadi perlahan dan menghasilkan banyak pertanyaan, yang turut menjadikannya mudah dikesan.

Jenis rekod yang berbeza memaksimumkan kapasiti hiliran:

• TXT — muatan teks bebas yang besar, jenis utama untuk balasan C2.
• NULL — bait mentah, digunakan oleh alat lama seperti iodine.
• CNAME / MX — kapasiti sederhana, mudah menyamar sebagai trafik yang sah.
• A / AAAA — kapasiti rendah tetapi sangat biasa dan tidak menonjol.

Utiliti penyaluran terowong yang terkenal dan patut anda kenal pasti dalam pengesanan:

• iodine — terowong IP melalui DNS yang menggunakan rekod NULL/TXT.
• dnscat2 — saluran C2 disulitkan melalui DNS.
• DNSExfiltrator — pengekstrakan fail berperingkat.
• Cobalt Strike DNS beacon — biasa digunakan oleh pasukan merah dan dalam pencerobohan sebenar.

Alat ini mempunyai corak pertanyaan dan tandatangan entropi yang mudah dikenal pasti.

Penyerang menala terowong tersebut: profil kadar rendah dan perlahan menghantar beberapa pertanyaan sahaja seminit untuk mengelakkan ambang volum, sesuai untuk pengekstrakan rahsia kecil secara tersembunyi seperti kelayakan atau kunci.

Profil kadar pemindahan tinggi memaksimumkan pertanyaan untuk C2 interaktif atau pemindahan pukal, dengan mengorbankan penyamaran demi kelajuan. Logik pengesanan mesti mengenal pasti kedua-dua keadaan ekstrem.

Subdomain yang dikodkan kelihatan seperti rentetan rawak, jadi subdomain tersebut mempunyai entropi tinggi berbanding nama domain semula jadi. Pengiraan entropi Shannon bagi setiap label ialah heuristik yang kukuh.

Nama yang sah biasanya cenderung berupa rentetan yang mudah disebut dan berentropi rendah; xj4k9d2mq7zp1.tunnel.evil.com jelas menonjol. Tandakan domain yang entropi subdomainnya melebihi ambang yang ditetapkan.

Petunjuk tingkah laku yang lain:

• Bilangan pertanyaan yang tinggi luar biasa ke satu domain daripada satu hos.
• Nama pertanyaan yang panjang dan menghampiri had 255 bait.
• Penggunaan rekod TXT atau NULL yang tidak seimbang.
• Banyak subdomain unik di bawah satu induk (kardinaliti tinggi).
• Pertanyaan ke domain yang baharu atau bereputasi rendah.

Titik akhir tidak sepatutnya berkomunikasi dengan DNS secara langsung melalui internet. Paksa semua klien menggunakan penyelesai dalaman dan sekat UDP/TCP 53 keluar pada tembok api.

Ini menyalurkan DNS melalui titik kawalan yang terkawal, tempat anda boleh merekodkan aktiviti, memeriksa trafik dan menggunakan risikan ancaman. Langkah ini juga memutuskan implan yang menetapkan penyelesai luaran secara tertanam seperti 8.8.8.8.

Gabungkan kawalan untuk menghentikan penyaluran terowong:

• Pusatkan penyelesaian nama; sekat port 53 luaran secara langsung.
• Laksanakan tembok api DNS / RPZ dengan suapan reputasi.
• Jana amaran untuk entropi, panjang pertanyaan, kadar NXDOMAIN dan kardinaliti bagi setiap domain.
• Hadkan kadar dan saiz pertanyaan jika boleh.
• Pantau DoH ke titik akhir yang tidak diketahui kerana tindakan ini menyembunyikan terowong di dalam HTTPS.

DNS melalui HTTPS membungkus pertanyaan dalam TLS ke 443, jadi pemantauan tradisional port-53 tidak melihat apa-apa. Implan yang menggunakan DoH ke titik akhir penyangak boleh menyalurkan data tanpa dikesan oleh perekodan DNS pasif.

Kurangkan risiko dengan menetapkan titik akhir kepada penyelesai DoH yang diluluskan, menyekat alamat IP atau nama hos DoH awam yang diketahui pada peranti terurus, serta memeriksa SNI TLS dan reputasi destinasi.

Terowong DNS menyalahgunakan subdomain pertanyaan dan rekod jawapan (TXT, NULL, CNAME) untuk mewujudkan saluran tersembunyi bagi pengekstrakan data dan C2. Kadar pemindahannya rendah, menjadikannya perlahan tetapi tersembunyi. Alat seperti iodine dan dnscat2 meninggalkan corak yang mudah dikenal pasti.

Kesan terowong menggunakan analitik entropi, panjang pertanyaan, volum dan kardinaliti; cegah dengan penyelesai berpusat, penapisan trafik keluar, tembok api DNS/RPZ dan kawalan terhadap DoH. Seterusnya: cara DNSSEC dan penapisan mempertahankan sistem nama secara keseluruhan.