DNS-Tunneling

DNS-Tunneling bezeichnet die Nutzung des DNS-Protokolls zum Transport von Daten, die nichts mit Namensauflösung zu tun haben. Ein Client kodiert Daten in die Labels von Anfragen nach Subdomains einer Domain, deren autoritativer Server von der Gegenseite kontrolliert wird, und der Server liefert Daten in seinen Antworten zurück. Da DNS fast überall erlaubt ist, lassen sich damit Netzwerkkontrollen umgehen; MITRE ATT&CK führt es unter T1071.004.

Indikatoren in einem Mitschnitt sind viele eindeutige, lange Subdomains mit hoher Entropie unter einer Domain, eine starke Nutzung von Record-Typen wie TXT und eine gleichmäßige Anfragerate von einem Host. Legitime Dienste erzeugen teils dieselben Muster, daher müssen Indikatoren bestätigt werden. Siehe DNS-Analyse in einer PCAP.