Caçando Tráfego C2 de Domain Fronting

Visão Geral

Domain fronting (MITRE ATT&CK T1090.004) é uma técnica onde atacantes usam nomes de domínio diferentes no campo SNI TLS e no cabeçalho HTTP Host para disfarçar o tráfego C2 atrás de domínios legítimos hospedados em CDNs. Esta habilidade detecta domain fronting analisando logs de proxy/gateway web em busca de incompatibilidades entre SNI e cabeçalho Host, analisando certificados TLS para identificação do provedor de CDN, sinalizando conexões onde o SNI aponta para um domínio de alta reputação, mas o cabeçalho Host tem como alvo um domínio controlado pelo atacante, e correlacionando com intervalos de IP conhecidos de provedores de CDN.

Quando Usar

• Ao investigar incidentes de segurança que exigem a caça por tráfego C2 de domain fronting.
• Ao construir regras de detecção ou consultas de threat hunting para este domínio.
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise.
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas.

Pré-requisitos

• Logs de proxy web ou gateway web seguro com campos SNI e cabeçalho Host.
• Python 3.8+ com as bibliotecas pyOpenSSL e cryptography.
• Inspeção TLS habilitada no proxy para visibilidade do cabeçalho Host.
• Listas de intervalos de IP de provedores de CDN (CloudFront, Azure CDN, Cloudflare).

Passos

1. Analisar logs de proxy em busca de conexões com campos SNI e cabeçalho Host.
2. Comparar o domínio SNI com o cabeçalho Host HTTP em busca de incompatibilidades.
3. Extrair os campos Subject e SAN do certificado TLS usando pyOpenSSL.
4. Identificar conexões hospedadas em CDN através do emissor do certificado e intervalos de IP.
5. Sinalizar domain fronting de alta confiança onde SNI e Host diferem em IPs de CDN.
6. Pontuar alertas com base na diferença de reputação dos domínios.
7. Gerar relatório de detecção com contexto de fluxo de rede.

Saída Esperada

Relatório JSON contendo indicadores detectados de domain fronting com pares SNI-Host, detalhes do certificado, identificação do provedor de CDN, pontuações de confiança e mapeamento da técnica MITRE ATT&CK.