Tunelowanie DNS
Technika przemycania danych lub ruchu C2 w zapytaniach DNS — informacje są kodowane w nazwach subdomen i odpowiedziach. Wykorzystuje to, że DNS prawie zawsze przechodzi przez firewalle, nawet w mocno zamkniętych sieciach.
Mechanizm: atakujący kontroluje autorytatywny serwer DNS dla swojej domeny. Zainfekowana maszyna koduje dane (wykradzione pliki, polecenia C2) w zapytaniach, np. [dane-zakodowane-base32].attacker.com, a serwer odpowiada danymi zakodowanymi w rekordach TXT lub innych. Ponieważ DNS rzadko bywa blokowany czy inspekcjonowany (wszystko potrzebuje rozwiązywania nazw), powstaje niezawodny ukryty kanał nawet tam, gdzie reszta ruchu wychodzącego jest zablokowana. Wada dla atakującego: jest wolny (mało danych na zapytanie) i hałaśliwy przy większej eksfiltracji, dlatego służy raczej do C2 i niewielkich ilości danych. Obrona: monitorowanie nienormalnie dużej liczby zapytań DNS, nietypowo długich lub losowych subdomen i zapytań do świeżo zarejestrowanych domen; inspekcja i logowanie DNS. Klasyczny sposób obejścia segmentacji sieci. Powiązane z eksfiltracją danych i command-and-control.