Detecção de Exfiltração de DNS com Análise de Consultas DNS

Visão Geral

A exfiltração de DNS explora o Sistema de Nomes de Domínio como um canal oculto para extrair dados de redes comprometidas. Atacantes codificam dados roubados em nomes de consultas DNS (subdomínios) ou registros de resposta DNS (TXT, CNAME, NULL), contornando controles de segurança tradicionais que geralmente permitem tráfego DNS sem restrições. Ferramentas como iodine, dnscat2 e dns2tcp permitem o tunelamento TCP completo via DNS. A detecção requer a análise de padrões de consultas DNS em busca de anomalias, incluindo comprimento excessivo de consultas, strings de subdomínio de alta entropia, volumes anormais de consultas para domínios únicos e respostas de registro TXT de tamanho excessivo. Esta habilidade abrange a construção de uma capacidade abrangente de detecção de exfiltração de DNS usando análise passiva de DNS, métodos estatísticos e abordagens de aprendizado de máquina.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de exfiltração de DNS com análise de consultas DNS.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Acesso a logs de consultas DNS (captura passiva de DNS, logs de servidor DNS ou PCAP).
• Zeek, Suricata ou tcpdump para captura de tráfego DNS.
• Python 3.8+ com scipy, numpy, pandas e scikit-learn.
• Plataforma SIEM para correlação de alertas.
• Linha de base de padrões de tráfego DNS normal para o ambiente.

Conceitos Principais

Mecanismos de Tunelamento DNS

A exfiltração de DNS codifica dados em diferentes partes das mensagens DNS:

Saída (Exfiltração baseada em consulta):

Encoded data as subdomain labels:
dGhlIHNlY3JldCBkYXRh.exfil.attacker.com
[base64-encoded data].[tunnel domain]

Query types used: A, AAAA, CNAME, MX, TXT, NULL

Entrada (Canal de comando baseado em resposta):

TXT records carry encoded commands/data in responses
CNAME records chain encoded data through multiple labels
NULL records carry arbitrary binary data

Indicadores de Detecção

Ferramentas Comuns de Tunelamento

Fluxo de Trabalho

Etapa 1: Capturar Tráfego DNS

Usando Zeek:

# Live capture
zeek -i eth0 -C base/protocols/dns

# Offline PCAP analysis
zeek -r traffic.pcap base/protocols/dns

# Output: dns.log with query, qtype, answers, TTL

Usando tcpdump:

# Capture all DNS traffic
tcpdump -i eth0 -w dns_capture.pcap port 53

# Capture with size filter (large DNS packets)
tcpdump -i eth0 -w large_dns.pcap 'port 53 and greater 512'

Usando Suricata:

# In suricata.yaml, enable DNS logging
outputs:
  - eve-log:
      types:
        - dns:
            query: yes
            answer: yes
            formats: [detailed]

Etapa 2: Analisar Características da Consulta

Script Python para detecção de exfiltração de DNS:

#!/usr/bin/env python3
"""Detector de Exfiltração de DNS - Analisa logs de DNS em busca de indicadores de tunelamento."""

import json
import math
import re
import sys
from collections import defaultdict
from datetime import datetime, timedelta

import pandas as pd


def calculate_entropy(domain: str) -> float:
    """Calcula a entropia de Shannon de uma string."""
    if not domain:
        return 0.0
    freq = defaultdict(int)
    for char in domain:
        freq[char] += 1
    length = len(domain)
    entropy = -sum(
        (count / length) * math.log2(count / length)
        for count in freq.values()
    )
    return entropy


def extract_subdomain(query: str) -> str:
    """Extrai a porção do subdomínio de um FQDN."""
    parts = query.rstrip('.').split('.')
    if len(parts) > 2:
        return '.'.join(parts[:-2])
    return ''


def get_base_domain(query: str) -> str:

…