Realizando Detecção de Túneis DNS

Quando Usar

• Ao conduzir avaliações de segurança que envolvam a detecção de túneis DNS
• Ao seguir procedimentos de resposta a incidentes para eventos de segurança relacionados
• Ao realizar testes ou atividades de auditoria de segurança agendados
• Ao validar controles de segurança por meio de testes práticos

Pré-requisitos

• Familiaridade com conceitos e ferramentas de operações de segurança
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

Analise o tráfego DNS em busca de indicadores de túneis DNS usando análise de entropia e métodos estatísticos nas características do nome da consulta.

import math
from collections import Counter

def shannon_entropy(data):
    if not data:
        return 0
    counter = Counter(data)
    length = len(data)
    return -sum((c/length) * math.log2(c/length) for c in counter.values())

# Legitimate domain: low entropy (~3.0-3.5)
print(shannon_entropy("www.google.com"))
# DNS tunnel: high entropy (~4.0-5.0)
print(shannon_entropy("aGVsbG8gd29ybGQ.tunnel.example.com"))

Principais indicadores de detecção:

1. Alta entropia de Shannon nos nomes das consultas (> 3,5 para rótulos de subdomínio)
2. Nomes de consulta anormalmente longos (> 50 caracteres)
3. Alto volume de solicitações de registro TXT para um único domínio
4. Alta contagem de subdomínios exclusivos por domínio pai
5. Distribuição de caracteres não padrão nos rótulos

Exemplos

from scapy.all import rdpcap, DNS, DNSQR
packets = rdpcap("dns_traffic.pcap")
for pkt in packets:
    if pkt.haslayer(DNSQR):
        query = pkt[DNSQR].qname.decode()
        entropy = shannon_entropy(query)
        if entropy > 4.0:
            print(f"Suspicious: {query} (entropy={entropy:.2f})")