Caçando Túneis DNS com Zeek

Quando Usar

• Ao caçar exfiltração de dados por canais ocultos de DNS
• Após inteligência de ameaças indicar frameworks de C2 baseados em DNS visando sua indústria
• Quando o dns.log mostra volumes de consulta incomumente altos para domínios específicos
• Durante a investigação de suspeita de roubo de dados onde nenhuma exfiltração HTTP/S foi encontrada
• Ao monitorar ferramentas como iodine, dnscat2, DNSExfiltrator ou tunelamento DNS-over-HTTPS

Pré-requisitos

• Zeek implantado em uma porta TAP ou SPAN de rede capturando tráfego DNS
• dns.log do Zeek com campos completos de consulta e resposta
• Plataforma SIEM para análise do dns.log (Splunk, Elastic)
• RITA (Real Intelligence Threat Analytics) para análise automatizada de DNS
• Dados de DNS Passivo para contexto histórico de resolução de domínios

Fluxo de Trabalho

1. Analisar Distribuição de Comprimento de Consultas: Túneis DNS codificam dados em rótulos de subdomínio, produzindo consultas significativamente mais longas que o normal. Consultas DNS normais têm média de 20-30 caracteres; consultas de tunelamento frequentemente excedem 50+ caracteres. Calcule a média e o desvio padrão dos comprimentos das consultas por domínio.
2. Calcular Entropia de Subdomínio: Túneis DNS codificam dados usando Base32/Base64, produzindo strings de subdomínio de alta entropia. Calcule a entropia de Shannon dos rótulos de subdomínio -- valores acima de 3.5 bits/caractere sugerem fortemente dados codificados.
3. Contar Subdomínios Únicos por Domínio: Domínios legítimos têm relativamente poucos subdomínios únicos. Túneis DNS geram centenas ou milhares de subdomínios únicos sob um único domínio pai.
4. Monitorar Distribuição de Tipos de Registro DNS: Registros TXT, NULL, CNAME e MX podem carregar mais dados que registros A. Consultas TXT excessivas para um único domínio indicam transferência de dados via DNS.
5. Detectar Alto Volume de Consultas: Marque domínios recebendo mais de 100 consultas por hora de uma única origem, especialmente quando combinado com alta unicidade de subdomínio.
6. Analisar Temporização de Consultas: Ferramentas de tunelamento DNS produzem padrões de consulta regulares (beaconing) ou padrões de rajada (transferência de dados). Aplique análise de frequência aos timestamps das consultas DNS.
7. Cruzamento com conn.log: Correlacione consultas DNS com metadados de conexão para identificar o processo ou endpoint gerando consultas suspeitas.
8. Validar com Inteligência de Domínio: Verifique domínios suspeitos contra dados WHOIS, transparência de certificado e feeds de inteligência de ameaças.

Conceitos Chave

Consultas de Detecção

Script Zeek -- Detecção de Túnel DNS

@load base/protocols/dns
module DNSTunnel;

export {
    redef enum Notice::Type += { DNSTunnel::Long_DNS_Query };
    const query_length_threshold = 50 &redef;
    const query_count_threshold = 100 &redef;
}

event dns_request(c: connection, msg: dns_msg, query: string, qtype: count, qclass: count) {
    if ( |query| > query_length_threshold ) {
        NOTICE([$note=DNSTunnel::Long_DNS_Query,
                $msg=fmt("Long DNS query detected: %s (%d chars)", query, |query|),
                $conn=c]);
    }
}

Splunk -- Indicadores de Tunelamento DNS do Zeek

index=zeek sourcetype=bro_dns
| rex field=query "(?<subdomain>[^.]+)\.(?<basedomain>[^.]+\.[^.]+)$"
| stats count dc(subdomain) as unique_subs avg(len(query)) as avg_len max(len(query)) as max_len by src basedomain
| where count > 100 AND (unique_subs > 50 OR avg_len > 40)
| sort -unique_subs

Splunk -- Detecção de Subdomínio de Alta Entropia

index=zeek sourcetype=bro_dns
| rex field=query "^(?<subdomain>[^.]+)"
| where len(subdomain) > 20
| eval char_count=len(subdomain)
| stats count dc(query) as unique_queries avg(char_count) as avg_sub_len by src query_type_name basedomain
| where unique_queries > 30 AND avg_sub_len > 25
| sort -unique_queries

Análise RITA

rita import /path/to/zeek/logs dataset_name
rita show-dns-fqdn-ips-long dataset_name
rita show-exploded-dns dataset_name
rita show-dns-tunneling dataset_name --csv > dns_tunnel_results.csv

Cenários Comuns

…