CDN加速威胁猎杀实战（五）：DNS隧道检测

目录：

1.DNS数据包格式和解析过程

 
图一：DNS数据包格式
 
图二：DNS解析过程

2.DNS隧道技术介绍

 
图三：DNS隧道技术
DNS隧道是一种滥用域名系统（DNS）将[另一个协议的]数据编码为一系列DNS查询和响应消息的技术。
DNS隧道的一些限制：
1.域名限制为字符集[a-z0-9-]中的255个字符。为了使用该字段发送二进制数据，必须对数据进行编码以满足该字符集要求。
2.PRIVATE和TXT记录允许216个[a-zA-Z0-9-+]字符。
3.CNAME，MX和SRV记录的格式与DNS查询的格式相同
DNS隧道的特点：
1.不需要攻击者和受害者之间的直接连接（当然也支持直接连接的方式）。DNS流量通常通过递归解析器中继，该解析器代表客户端迭代地执行查询。所以在主机上收集的Netflow不会显示与攻击者的直接连接。
2.服务端可以非常隐秘。比如攻击者只使用DNS查询消息（使用NXDOMAIN或FORMAT_ERR）（例如数据泄露），则DNS隧道不必使用DNS响应消息。
3.DNS隧道不必使用单个域名来交换流量。它可以分布在共享同一名称服务器的多个域中。这提供了额外的隐秘性和弹性，因为在网络流量基线中不会出现任何单个域作为异常值。
4.DNS隧道将二进制数据编码为ASCII格式，然后在DNS查询或响应中作为域名进行传输。从编码的二进制数据生成的这种域名具有高熵。此外，为了实现高带宽，DNS隧道对每个分组中最大可能的二进制数据块进行编码，从而产生大的DNS分组。因此，给定来自DNS隧道的DNS流量，可以观察到注册域下的大量长子域，每个子域具有高熵。
高熵，大量子域和大数据包大小似乎是DNS隧道的可靠指标，但是存在误报。比如一些CDN或杀毒软件厂商域名的CNAME记录

3.DNS隧道检测的思路

4.DNS隧道检测技术及实战

5.总结