🛡 Обнаружение DNS-туннелирования в корпоративной сети

DNS-запросы выглядят как обычный сетевой шум, но иногда внутри этого «шума» прячется канал передачи данных.

Так работает DNS-туннелирование: внешне все похоже на нормальные запросы к доменам, а внутри могут передаваться команды, фрагменты данных или сигналы для вредоносной инфраструктуры.

Почему это сложно заметить? Потому что один признак почти никогда не доказывает атаку. Длинный поддомен, TXT-запрос, частые NXDOMAIN-ответы или необычная активность ночью по отдельности могут быть легитимными. Но вместе они складываются в картину скрытого канала.

В новой статье на CISOCLUB разобрали:

✔️ как работает DNS-туннелирование
✔️ какие индикаторы выдают скрытую передачу данных
✔️ почему важно смотреть не на один запрос, а на поведение трафика
✔️ как противодействовать таким каналам на уровне резолверов

DNS может быть не просто служебным протоколом, а точкой, где скрытую активность можно заметить раньше

А вы сталкивались с необычной DNS-активностью в сети?

❤️ — тема знакома, уже отслеживаем такие признаки
🔥 — нужно больше разборов про скрытые каналы атак