Ders 1.44: DNS tünellemeyi tespit etmek

Hemen her ağ DNS'in dışarı çıkmasına izin verir; internet erişimi olmayan bölümler bile, çünkü iç çözümleyici onların sorularını iletir. Bu da DNS'i klasik bir gizli kanal yapar: zararlı yazılım veriyi sorguladığı adların içine kodlar (abc123….saldirgan.example) ve saldırganın ad sunucusu onu alır. Laboratuvarda Northwind'in DNS günlüğünü okuyor, internete çıkamayan bir depo kioskunun tuhaf TXT soruları sorduğunu fark ediyor, ad uzunluğunu ve benzersizliğini ölçüyor ve bir sorguyu çözerek veri taşıdığını kanıtlıyorsun.

16 dk

Bu derste öğreneceklerin

DNS tünellemenin nasıl çalıştığını açıklamak
Zeek'in dns.log'unu okumak
Alışılmadık sorgu türlerini ve uzun adları fark etmek
Alan adı başına benzersiz alt alan adlarını ölçmek
Kodlanmış bir etiketi çözmek

Temel terimler

Gizli kanal: Veriyi onun için tasarlanmamış bir yoldan taşımanın yolu.
DNS tünelleme: Veriyi çözümleyicilerden geçirmek için DNS sorularına ve yanıtlarına kodlamak.
TXT kaydı: Serbest metin tutan DNS kaydı; tüneller için veriyi geri göndermekte kullanışlı.
Kayıtlı alan adı: Bir adın birinin kaydettiği kısmı (ör. cdn-metrics.example); altındaki alt alan adlarını dilediği gibi uydurabilir.
Base32: A-Z ve 2-7 ile kodlama; büyük-küçük harf duyarsız olduğu için DNS adlarına uyar.
Yanıt politikası bölgesi (RPZ): Listelenen alan adları için yanıtları engelleyen ya da yeniden yazan çözümleyici özelliği.

← Katmanlı modeller: OSI ve TCP/IP · Tüm dersler · Kullanıcılar, gruplar, root ve sudo →