Detecção de Exfiltração via DNS com Zeek

Visão Geral

Tunelamento e exfiltração de DNS são técnicas usadas por atacantes para contornar firewalls e controles DLP, codificando dados roubados em subdomínios de consultas DNS. Consultas DNS legítimas possuem entropia e padrões de comprimento previsíveis, enquanto consultas de exfiltração contêm dados codificados com alta entropia de Shannon, rótulos de subdomínio anormalmente longos e alto volume de subdomínios únicos por domínio pai.

Esta habilidade analisa arquivos dns.log do Zeek (formato TSV) para detectar indicadores de exfiltração. O agente calcula a entropia de Shannon para cada componente de subdomínio, identifica consultas que excedem o limite de 63 caracteres por rótulo DNS, conta subdomínios únicos por domínio pai e sinaliza domínios que excedem limites configuráveis. Essas técnicas detectam ferramentas como dnscat2, iodine, dns2tcp e implementações customizadas de tunelamento DNS.

Quando Usar

• Ao investigar incidentes de segurança que exigem a detecção de exfiltração via DNS com Zeek.
• Ao construir regras de detecção ou consultas de caça a ameaças para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Python 3.9 ou superior com os módulos math e collections (stdlib).
• Arquivos dns.log do Zeek em formato TSV com cabeçalhos de campo padrão.
• Dados de captura de rede processados pelo Zeek 5.0+ ou superior.
• Compreensão da estrutura do protocolo DNS e tipos de consulta.

Passos

1. Analisar cabeçalhos do dns.log do Zeek: Leia o arquivo TSV, extraia a linha de cabeçalho #fields para identificar as posições das colunas para ts, id.orig_h, query, qtype_name, rcode_name e answers.

2. Extrair e decompor consultas: Para cada consulta DNS, divida o FQDN em rótulos de subdomínio e domínio pai. Ignore consultas para domínios conhecidos como seguros e zonas internas.

3. Calcular a entropia de Shannon: Calcule a entropia da informação de cada rótulo de subdomínio. Subdomínios legítimos geralmente têm entropia abaixo de 3.5, enquanto dados codificados/criptografados produzem entropia acima de 4.0.

4. Detectar rótulos longos: Sinalize rótulos DNS que excedem 52 caracteres (aproximando-se do limite máximo de 63 caracteres). Rótulos longos são um forte indicador de tunelamento de dados.

5. Contar subdomínios únicos por domínio: Monitore quantos subdomínios distintos cada domínio pai recebe. Domínios com mais de 50 subdomínios únicos dentro da janela de log são suspeitos.

6. Identificar anomalias de volume de consulta: Calcule consultas por minuto por IP de origem por domínio. Ferramentas de exfiltração geram fluxos de consulta de alto volume e sustentados que diferem da navegação normal.

7. Pontuar e classificar domínios: Combine entropia, comprimento do rótulo, contagem de unicidade e volume de consulta em uma pontuação de risco composta. Classifique os domínios por pontuação e exiba os domínios mais suspeitos.

8. Gerar relatório de detecção: Produza um relatório JSON com os domínios sinalizados, seus indicadores de evidência, IPs de origem e ações de resposta recomendadas.

Saída Esperada

{
  "analysis_summary": {
    "total_queries_analyzed": 145832,
    "unique_domains": 3421,
    "flagged_domains": 3,
    "entropy_threshold": 3.5
  },
  "flagged_domains": [
    {
      "domain": "data.evil-c2.com",
      "unique_subdomains": 892,
      "avg_entropy": 4.72,
      "max_label_length": 61,
      "source_ips": ["10.0.1.45"],
      "risk_score": 9.4,
      "indicators": ["high_entropy", "long_labels", "high_subdomain_count"]
    }
  ]
}