Туннелирование и извлечение данных через DNS

Туннелирование через DNS кодирует произвольные данные в запросах и ответах DNS, превращая систему имён в скрытый канал связи. Поскольку почти любая сеть разрешает DNS выходить за периметр, это излюбленный путь для вывода данных и канала командования и управления.

Если межсетевой экран блокирует всё, но резолвер по-прежнему отвечает, злоумышленники могут проложить через DNS полноценный двусторонний канал.

Злоумышленник управляет авторитетным сервером имён для домена, например tunnel.evil.com. Имплант кодирует исходящие данные в поддомене (левой метке) запросов:

• Данные передаются как <base32-chunk>.tunnel.evil.com.
• Авторитетный сервер возвращает инструкции внутри записей TXT, CNAME или NULL.

Каждая пара запроса и ответа содержит небольшой фрагмент полезной нагрузки.

В метках DNS регистр не учитывается, а их длина ограничена, поэтому двоичные данные обычно кодируются с помощью Base32 (Base64 учитывает регистр и использует небезопасные символы). Необходимо соблюдать следующие ограничения:

• Длина каждой метки — не более 63 символов.
• Длина полного имени — не более 255 символов.
• Таким образом, каждый запрос может содержать максимум несколько сотен байтов.

Из-за такой низкой пропускной способности вывод данных через DNS идёт медленно и порождает много запросов, что также упрощает его обнаружение.

Разные типы записей позволяют увеличить объём данных в ответах:

• TXT — крупные текстовые полезные нагрузки, основной формат ответов канала командования и управления.
• NULL — необработанные байты, используемые старыми инструментами, например iodine.
• CNAME / MX — средняя пропускная способность, при этом такие записи не выделяются среди легитимного трафика.
• A / AAAA — малая пропускная способность, но эти записи очень распространены и незаметны.

Известные утилиты туннелирования, которые следует распознавать при обнаружении:

• iodine — туннель IP через DNS, использующий записи NULL/TXT.
• dnscat2 — зашифрованный канал командования и управления через DNS.
• DNSExfiltrator — поэтапный вывод файлов.
• Маяк DNS Cobalt Strike — распространённый инструмент при проверках безопасности красной командой и в реальных вторжениях.

У этих инструментов есть характерные шаблоны запросов и признаки энтропии.

Злоумышленники настраивают туннель: медленный и малозаметный режим отправляет мало запросов в минуту, чтобы не превышать пороги по объёму. Он подходит для скрытого вывода небольших секретов, например учётных данных или ключей.

Режим с высокой пропускной способностью увеличивает число запросов для интерактивного канала командования и управления или массовой передачи данных, жертвуя скрытностью ради скорости. Логика обнаружения должна выявлять оба варианта.

Закодированные поддомены выглядят как случайные строки, поэтому их энтропия высока по сравнению с естественными именами доменов. Расчёт энтропии Шеннона для каждой метки — сильная эвристика.

Легитимные имена обычно легко произносятся и имеют низкую энтропию; xj4k9d2mq7zp1.tunnel.evil.com заметно выделяется. Помечайте домены, у которых энтропия поддомена превышает настроенный порог.

Другие поведенческие признаки:

• Необычно большое число запросов к одному домену с одного узла.
• Длинные имена запросов, приближающиеся к ограничению в 255 байтов.
• Непропорционально частое использование записей TXT или NULL.
• Много уникальных поддоменов в одном родительском домене (большое разнообразие).
• Запросы к недавно зарегистрированному домену или домену с низкой репутацией.

Конечные устройства не должны напрямую обращаться к DNS в интернете. Направляйте всех клиентов через внутренние резолверы и блокируйте исходящий UDP/TCP 53 на межсетевом экране.

Это направляет DNS через централизованную точку контроля, где можно вести журнал, проверять запросы и применять данные об угрозах. Кроме того, это нарушает работу имплантов, в которых жёстко заданы внешние резолверы, например 8.8.8.8.

Объедините средства защиты, чтобы пресечь туннелирование:

• Централизуйте разрешение имён и блокируйте прямой доступ к внешнему порту 53.
• Разверните межсетевой экран DNS / RPZ с источниками данных о репутации.
• Создавайте оповещения при высокой энтропии, большой длине запросов, высокой частоте NXDOMAIN и большом числе уникальных значений для каждого домена.
• Ограничивайте частоту запросов и, если возможно, их размер.
• Следите за обращениями DNS через HTTPS к неизвестным конечным точкам, поскольку они скрывают туннелирование внутри HTTPS.

DNS через HTTPS оборачивает запросы в TLS и передаёт их через 443, поэтому традиционный контроль порта 53 ничего не видит. Имплант, использующий DNS через HTTPS для обращения к поддельной конечной точке, может незаметно передавать данные, не попадая в пассивное журналирование DNS.

Снизить риск можно, разрешив только утверждённый резолвер DNS через HTTPS, заблокировав на управляемых устройствах известные общедоступные IP-адреса и имена хостов DNS через HTTPS, а также проверяя SNI и репутацию назначения.

Проверьте свою интуицию при обнаружении угроз.

Туннелирование через DNS использует поддомены запросов и записи ответов (TXT, NULL, CNAME), создавая скрытый канал для вывода данных и командования и управления. Пропускная способность невелика, поэтому передача идёт медленно, но остаётся малозаметной. Такие инструменты, как iodine и dnscat2, оставляют характерные признаки.

Обнаруживайте туннелирование с помощью анализа энтропии, длины запросов, их объёма и разнообразия; предотвращайте его с помощью централизованных резолверов, фильтрации исходящего трафика, межсетевых экранов DNS/RPZ и контроля DNS через HTTPS. Далее: как DNSSEC и фильтрация защищают систему имён в целом.