🛡 Обнаружение DNS-туннелирования в корпоративной сети
DNS-запросы выглядят как обычный сетевой шум, но иногда внутри этого «шума» прячется канал передачи данных.
Так работает DNS-туннелирование: внешне все похоже на нормальные запросы к доменам, а внутри могут передаваться команды, фрагменты данных или сигналы для вредоносной инфраструктуры.
Почему это сложно заметить? Потому что один признак почти никогда не доказывает атаку. Длинный поддомен, TXT-запрос, частые NXDOMAIN-ответы или необычная активность ночью по отдельности могут быть легитимными. Но вместе они складываются в картину скрытого канала.
В новой статье на CISOCLUB разобрали:
✔️ как работает DNS-туннелирование ✔️ какие индикаторы выдают скрытую передачу данных ✔️ почему важно смотреть не на один запрос, а на поведение трафика ✔️ как противодействовать таким каналам на уровне резолверов
DNS может быть не просто служебным протоколом, а точкой, где скрытую активность можно заметить раньше
А вы сталкивались с необычной DNS-активностью в сети?
❤️ — тема знакома, уже отслеживаем такие признаки 🔥 — нужно больше разборов про скрытые каналы атак
