การทำอุโมงค์ DNS และการลักลอบนำข้อมูลออก

การทำอุโมงค์ DNS เข้ารหัสข้อมูลใด ๆ ไว้ภายในคำขอและคำตอบ DNS ทำให้ระบบชื่อกลายเป็นช่องทางสื่อสารลับ เนื่องจากเครือข่ายเกือบทุกแห่งอนุญาตให้ DNS ออกจากขอบเขตเครือข่ายได้ จึงเป็นช่องทางยอดนิยมสำหรับการลักลอบนำข้อมูลออกและการสั่งการและควบคุม (C2)

หากไฟร์วอลล์ของคุณบล็อกทุกอย่าง แต่ตัวแก้ไข DNS ยังคงตอบคำขอได้ ผู้โจมตีก็สามารถส่งข้อมูลผ่าน DNS เป็นช่องทางสื่อสารสองทิศทางได้อย่างเต็มรูปแบบ

ผู้โจมตีควบคุมเซิร์ฟเวอร์ชื่อที่มีสิทธิ์ของโดเมนหนึ่ง เช่น tunnel.evil.com โปรแกรมฝังตัวจะเข้ารหัสข้อมูลขาออกลงในซับโดเมน (ป้ายกำกับด้านซ้าย)ของคำขอ:

• ข้อมูลจะถูกส่งออกในรูป <base32-chunk>.tunnel.evil.com
• เซิร์ฟเวอร์ชื่อที่มีสิทธิ์จะส่งคำสั่งกลับมาภายในระเบียน TXT CNAME หรือ NULL

คู่คำขอ/คำตอบแต่ละคู่จะบรรจุข้อมูลบรรทุกเพียงส่วนเล็ก ๆ

ป้ายกำกับ DNS ไม่แยกตัวพิมพ์เล็ก-ใหญ่และมีข้อจำกัดด้านความยาว ดังนั้นข้อมูลไบนารีจึงมักเข้ารหัสด้วย Base32 (Base64 ใช้ตัวพิมพ์เล็กใหญ่ปะปนกันและใช้อักขระที่ไม่ปลอดภัย) ข้อจำกัดที่ต้องคำนึงถึงมีดังนี้:

• ป้ายกำกับแต่ละรายการยาวได้ไม่เกิน 63 อักขระ
• ชื่อทั้งหมดมีความยาวได้ไม่เกิน 255 อักขระ
• ดังนั้นแต่ละคำขอจึงบรรจุได้อย่างมากเพียงไม่กี่ร้อยไบต์

อัตรารับส่งข้อมูลที่ต่ำนี้ทำให้การลักลอบนำข้อมูลออกผ่าน DNS ทำได้ช้าและมีการส่งคำขอถี่ ซึ่งทำให้ตรวจจับได้เช่นกัน

ระเบียนประเภทต่าง ๆ ช่วยเพิ่มความจุข้อมูลขาลงให้สูงสุด:

• TXT — ข้อมูลบรรทุกแบบข้อความอิสระขนาดใหญ่ เป็นช่องทางหลักสำหรับคำตอบ C2
• NULL — ไบต์ดิบ ใช้โดยเครื่องมือรุ่นเก่าอย่าง iodine
• CNAME / MX — ความจุปานกลาง กลมกลืนกับการรับส่งข้อมูลปกติ
• A / AAAA — ความจุต่ำ แต่พบได้ทั่วไปและไม่สะดุดตา

เครื่องมือสำหรับการทำอุโมงค์ที่เป็นที่รู้จัก ซึ่งคุณควรจดจำได้เมื่อตรวจจับเหตุการณ์:

• iodine — อุโมงค์ IP ผ่าน DNS ที่ใช้ระเบียน NULL/TXT
• dnscat2 — ช่องทาง C2 แบบเข้ารหัสผ่าน DNS
• DNSExfiltrator — การลักลอบนำไฟล์ออกเป็นระยะ
• บีคอน DNS ของ Cobalt Strike — พบได้ทั่วไปในการทดสอบโดยทีมแดงและการบุกรุกจริง

เครื่องมือเหล่านี้มีรูปแบบคำขอและลายเซ็นเอนโทรปีที่จดจำได้

ผู้โจมตีจะปรับแต่งอุโมงค์ รูปแบบช้าและค่อยเป็นค่อยไปจะส่งคำขอเพียงไม่กี่รายการต่อนาทีเพื่อหลบเลี่ยงเกณฑ์ปริมาณ เหมาะสำหรับการลักลอบนำข้อมูลลับขนาดเล็ก เช่น ข้อมูลประจำตัวหรือกุญแจ ออกไปอย่างแนบเนียน

รูปแบบอัตรารับส่งข้อมูลสูงจะเพิ่มจำนวนคำขอให้มากที่สุดสำหรับ C2 แบบโต้ตอบหรือการถ่ายโอนข้อมูลจำนวนมาก โดยแลกกับความแนบเนียนที่ลดลงเพื่อความเร็ว ตรรกะการตรวจจับต้องจับได้ทั้งสองขั้ว

ซับโดเมนที่เข้ารหัสจะดูเหมือนสตริงสุ่ม จึงมีเอนโทรปีสูงเมื่อเทียบกับชื่อโดเมนตามธรรมชาติ การคำนวณเอนโทรปีแชนนอนต่อป้ายกำกับเป็นแนวทางตรวจจับเชิงอนุมานที่มีประสิทธิภาพ

ชื่อที่ถูกต้องตามปกติมักเป็นสตริงที่ออกเสียงได้และมีเอนโทรปีต่ำ ส่วน xj4k9d2mq7zp1.tunnel.evil.com จะโดดเด่นออกมา ให้ทำเครื่องหมายโดเมนที่เอนโทรปีของซับโดเมนสูงกว่าเกณฑ์ที่ปรับแต่งไว้

ตัวบ่งชี้พฤติกรรมอื่น ๆ ได้แก่:

• จำนวนคำขอสูงผิดปกติไปยังโดเมนเดียวจากโฮสต์หนึ่งเครื่อง
• ชื่อคำขอยาวใกล้ขีดจำกัด 255 ไบต์
• การใช้ระเบียน TXT หรือ NULL มากเกินสัดส่วน
• มีซับโดเมนที่ไม่ซ้ำกันจำนวนมากภายใต้โดเมนแม่เดียวกัน (มีความหลากหลายสูง)
• คำขอไปยังโดเมนใหม่หรือโดเมนที่มีชื่อเสียงต่ำ

อุปกรณ์ปลายทางไม่ควรติดต่อ DNS โดยตรงกับอินเทอร์เน็ต บังคับให้ไคลเอนต์ทั้งหมดใช้ตัวแก้ไข DNS ภายในและบล็อก UDP/TCP 53 ขาออกที่ไฟร์วอลล์

วิธีนี้จะบังคับให้ DNS ผ่านจุดคอขวดที่ควบคุมได้ ซึ่งคุณสามารถบันทึก ตรวจสอบ และใช้ข่าวกรองภัยคุกคามได้ นอกจากนี้ยังทำให้โปรแกรมฝังตัวที่กำหนดตัวแก้ไขภายนอกตายตัว เช่น 8.8.8.8 ทำงานไม่ได้

ผสานการควบคุมต่าง ๆ เพื่อปิดกั้นการทำอุโมงค์:

• รวมศูนย์การแปลงชื่อ และบล็อกพอร์ตภายนอก 53 โดยตรง
• ติดตั้งไฟร์วอลล์ DNS / RPZ พร้อมแหล่งข้อมูลชื่อเสียง
• แจ้งเตือนเมื่อพบเอนโทรปี ความยาวคำขอ อัตรา NXDOMAIN และความหลากหลายต่อโดเมน
• จำกัดอัตราและจำกัดขนาดคำขอเมื่อทำได้
• เฝ้าระวัง DoH ไปยังปลายทางที่ไม่รู้จัก ซึ่งซ่อนการทำอุโมงค์ไว้ภายใน HTTPS

DNS ผ่าน HTTPS ห่อหุ้มคำขอด้วย TLS ไปยัง 443 ดังนั้นการเฝ้าติดตามพอร์ต 53 แบบดั้งเดิมจึงไม่เห็นสิ่งใด โปรแกรมฝังตัวที่ใช้ DoH ไปยังปลายทางอันตรายสามารถลักลอบส่งข้อมูลโดยไม่ให้การบันทึก DNS แบบพาสซีฟตรวจพบ

ลดความเสี่ยงด้วยการกำหนดปลายทางตายตัวให้ใช้ตัวแก้ไข DoH ที่ได้รับอนุมัติ บล็อก IP/ชื่อโฮสต์ DoH สาธารณะที่รู้จักบนอุปกรณ์ที่มีการจัดการ และตรวจสอบ SNI ของ TLS กับชื่อเสียงของปลายทาง

การทำอุโมงค์ DNS ใช้ซับโดเมนของคำขอและระเบียนคำตอบ (TXT, NULL, CNAME) เพื่อสร้างช่องทางลับสำหรับการลักลอบนำข้อมูลออกและ C2 อัตรารับส่งข้อมูลต่ำ ทำให้การทำงานช้าแต่แนบเนียน เครื่องมืออย่าง iodine และ dnscat2 ทิ้งรูปแบบที่จดจำได้

ตรวจจับด้วยการวิเคราะห์เอนโทรปี ความยาวคำขอ ปริมาณ และความหลากหลาย ป้องกันด้วยตัวแก้ไข DNS แบบรวมศูนย์ การกรองข้อมูลขาออก ไฟร์วอลล์ DNS/RPZ และการควบคุม DoH ต่อไปคือวิธีที่ DNSSEC และการกรองช่วยป้องกันระบบชื่อโดยรวม