DNS Exfiltration missbraucht Namensabfragen, um entwendete Informationen an gewöhnlichen Kontrollen vorbei aus dem Netz zu tragen.
Die Abfragen klingen nach einem normalen Kanal, deshalb zählen Menge, Länge und Ziel und nicht eine Bauanleitung.
So funktioniert es
Ein Rechner, der selten nach fremden Namen fragen sollte, erzeugt stattdessen viele ungewöhnliche Abfragen, deren Zweck es ist, Daten nach außen zu bewegen.
Das Zeichen für die Abwehr ist das Muster der Abfragen und nicht ein Rezept, Informationen darin zu verstecken.
Die Reaktion beschränkt, welche Resolver Rechner nutzen dürfen, warnt bei abnormalem Abfrageverhalten und untersucht den Rechner, der fragt.
Das gesamte Namenssystem zu sperren würde legitime Arbeit zerstören, deshalb muss die Kontrolle gezielt sein und eine verantwortliche Person haben.
Konkrete Beispiele
- Ein Arbeitsplatz, der nie externe Resolver ansprach, stellt plötzlich eine lange Folge von Abfragen nach Namen, die das Geschäft nicht nutzt.
- Ein Server, der nur über einen internen Resolver auflösen darf, fragt direkt einen öffentlichen Resolver.
- Ein Alarm zu ungewöhnlich langen Namen führt zu einem Rechner, der außerdem eine große Lesemenge auf einer sensiblen Freigabe zeigt.
Schutzmaßnahmen
- Verlangen Sie, dass verwaltete Rechner Resolver nutzen, die Sie beherrschen, und lassen Sie sich warnen, wenn ein Rechner sie umgeht.
- Achten Sie auf ungewöhnliche Abfragemenge, ungewöhnliche Namenslänge und Ziele, die Ihr Geschäft nicht kennt.
- Untersuchen Sie den Rechner hinter den Abfragen, bevor Sie das Resolverprotokoll für den ganzen Vorfall halten.
- Veröffentlichen Sie keine internen Beispiele, wie Daten in Namen versteckt wurden, auch nicht in Schulungsfolien.