Техника на mitre.org

T1071.004: DNS

Злоумышленники могут осуществлять взаимодействие с помощью DNS — протокола прикладного уровня — с целью маскировки вредоносного трафика под обычный и предотвращения обнаружения или сетевой фильтрации. Команды, направленные к удаленной системе, а также часто и результаты выполнения этих команд встраиваются в трафик между клиентом и сервером.

Протокол DNS используется для выполнения административных задач в компьютерных сетях повсеместно. Передача DNS-трафика может быть разрешена еще до завершения сетевой аутентификации. Пакеты DNS содержат множество полей и заголовков, в которых могут быть скрыты данные. Злоумышленники могут использовать DNS для взаимодействия с подконтрольными системами в целевой сети, имитируя типичный для этой сети трафик. Эта техника называется DNS-туннелированием.

Какие продукты Positive Technologies покрывают технику

Экспертиза MaxPatrol SIEM

pt_nad: PT-CR-733: NAD_DNS_Zone_Transfer: PT NAD обнаружил AXFR-запрос от недоверенного DNS-сервера network_devices_abnormal_activity: PT-CR-477: Untrusted_DNS_Server_Usage: Обнаружено подключение к DNS-серверу из внешней сети dnsmasq: PT-CR-2233: Dnsmasq_New_Kind_Of_Network_Detection: DNS-запросы к сетевому сервису New Kind of Network, который может быть использован в качестве канала C2 dnsmasq: PT-CR-2231: Dnsmasq_Wannacry_Killswitch_Detection: DNS-запросы к внешним сервисам, соответствующим ВПО WannaCry dnsmasq: PT-CR-2227: Dnsmasq_Base64_Encoded_DNS_Request_Detection: Подозрительные DNS-запросы с использованием кодировки Base64 dnsmasq: PT-CR-2232: Dnsmasq_Cobalt_Strike_DNS_Beaconing_Detection: Подозрительный DNS-запрос от маяков Cobalt Strike dnsmasq: PT-CR-2203: Dnsmasq_DNS_Query_High_Frequency: Большое количество DNS-запросов к одному и тому же домену, что может свидетельствовать об использовании DNS для передачи данных dnsmasq: PT-CR-2200: Dnsmasq_TXT_Query_High_Frequency: Чрезвычайно высокая частота DNS-запросов c типом записи TXT от узла за короткий период времени может свидетельствовать об использовании инструмента Do-exfiltration dnsmasq: PT-CR-2228: Dnsmasq_External_Service_Interaction_Domain_Detection: Подозрительные DNS-запросы к доменам взаимодействия с внешними службами, которые часто используются для внеполосного взаимодействия после успешного RCE dnsmasq: PT-CR-2230: Dnsmasq_Monero_Crypto_Coin_Mining_Domain_Detection: Подозрительные DNS-запросы к пулам для майнинга Monero active_directory_attacks: PT-CR-74: DNS_Zone_Transfer_To_Untrusted_Host: AXFR-запрос от недоверенного DNS-сервера. С помощью этого запроса злоумышленники могут раскрыть внутреннюю структуру сети и получить доступ к конфиденциальной информации bind: PT-CR-2189: BIND_Cobalt_Strike_DNS_Beaconing_Detection: Подозрительный запрос параметров DNS. Подобные запросы исходят от маяков Cobalt Strike, которые могут использоваться злоумышленниками для тестирования инфраструктуры и обнаружения уязвимостей bind: PT-CR-2190: BIND_New_Kind_Of_Network_Detection: Запрос параметров DNS для ресурса, который может выступать в качестве канала C2-сервера. На C2-сервере обычно находится управляющее ПО, которое позволяет злоумышленнику удаленно управлять компьютером жертвы, получать доступ к конфиденциальной информации и проводить атаки bind: PT-CR-2188: BIND_Monero_Crypto_Coin_Mining_Domain_Detection: Запрос параметров DNS к пулам для майнинга Monero bind: PT-CR-2193: BIND_Many_DNS_Requests_To_Single_Resource: Множество DNS-запросов к одному ресурсу, что может быть признаком работы вредоносного ПО, которое пытается получить доступ к вредоносным сайтам или сервисам bind: PT-CR-2195: BIND_Many_DNS_Requests_From_Single_Host: Множество DNS-запросов с одного узла, что может быть признаком запуска вредоносного ПО, которое использует DNS для передачи команд и управления bind: PT-CR-2194: BIND_DNS_Zone_Transfer_From_Untrusted_Host: Передача зоны DNS от недоверенного узла bind: PT-CR-2187: BIND_Wannacry_Killswitch_Detection: Запрос параметров DNS для ресурса Kill Switch вредоносной программы WannaCry bind: PT-CR-2196: BIND_Many_DNS_TXT_Records_Requests: Множество DNS-запросов с типом записи "TXT", что может быть признаком использования вредоносного инструмента Do-Exfiltration bind: PT-CR-2185: BIND_External_Service_Interaction_Domain_Detection: Запрос параметров DNS к доменам взаимодействия с внешними службами. Злоумышленники используют подобные запросы для внеполосных взаимодействий bind: PT-CR-2191: BIND_Base64_Encoded_DNS_Request_Detection: Запрос параметров DNS для ресурса содержит кодировку Base64. Злоумышленники используют кодировку в запросах, чтобы замаскировать свою активность mitre_attck_cred_access: PT-CR-1076: DNS_Spoofing: Обнаружена подмена DNS доменных узлов. Адрес узла, с которого велась атака, занесен в табличный список.

Способы обнаружения

ID	DS0029	Источник и компонент данных	Сетевой трафик: Содержимое сетевого трафика	Описание	Отслеживайте и анализируйте шаблоны трафика и содержимое пакетов, используя проверку SSL/TLS для DNS over TLS (DoT) и DNS over HTTPS (DoH), чтобы выявлять признаки протоколов, которые не соответствуют ожидаемым стандартам протоколов и шаблонам потоков трафика (например, посторонние пакеты, не относящиеся к обычным потокам, трафик неизвестного происхождения, а также необычные синтаксис или структура трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам).

ID	DS0029	Источник и компонент данных	Сетевой трафик: Поток сетевого трафика	Описание	Отслеживайте потоки DNS-трафика, идущие к известным вредоносным или подозрительным доменам или от них, и анализируйте трафик, который не соответствует ожидаемым стандартам протоколов и шаблонам потоков трафика (например, посторонние пакеты, не относящиеся к обычным потокам, или необычные шаблоны трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам).

ID	Источник и компонент данных	Описание
DS0029	Сетевой трафик: Содержимое сетевого трафика	Отслеживайте и анализируйте шаблоны трафика и содержимое пакетов, используя проверку SSL/TLS для DNS over TLS (DoT) и DNS over HTTPS (DoH), чтобы выявлять признаки протоколов, которые не соответствуют ожидаемым стандартам протоколов и шаблонам потоков трафика (например, посторонние пакеты, не относящиеся к обычным потокам, трафик неизвестного происхождения, а также необычные синтаксис или структура трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам).
DS0029	Сетевой трафик: Поток сетевого трафика	Отслеживайте потоки DNS-трафика, идущие к известным вредоносным или подозрительным доменам или от них, и анализируйте трафик, который не соответствует ожидаемым стандартам протоколов и шаблонам потоков трафика (например, посторонние пакеты, не относящиеся к обычным потокам, или необычные шаблоны трафика). По возможности проводите сопоставление с результатами мониторинга процессов и использованием командной строки с целью выявления необычного запуска процессов и необычных аргументов командной строки, связанных с шаблонами трафика (например, следует отслеживать необычное использование файлов, которые обычно не инициируют соединения по соответствующим протоколам).

Меры противодействия

ID	M1037	Название	Фильтрация сетевого трафика	Описание	По возможности фильтруйте DNS-запросы к неизвестным, недоверенным или заведомо вредоносным доменам и ресурсам. Разрешение DNS-запросов с помощью локальных/прокси-серверов также может пресечь попытки злоумышленников скрыть данные в DNS-пакетах.

ID	M1031	Название	Предотвращение сетевых вторжений	Описание	Системы обнаружения и предотвращения сетевых вторжений, использующие сетевые сигнатуры для выявления трафика, специфичного для вредоносных программ конкретной группы злоумышленников, могут быть использованы для защиты от связанной с этим трафиком активности на сетевом уровне.

ID	Название	Описание
M1037	Фильтрация сетевого трафика	По возможности фильтруйте DNS-запросы к неизвестным, недоверенным или заведомо вредоносным доменам и ресурсам. Разрешение DNS-запросов с помощью локальных/прокси-серверов также может пресечь попытки злоумышленников скрыть данные в DNS-пакетах.
M1031	Предотвращение сетевых вторжений	Системы обнаружения и предотвращения сетевых вторжений, использующие сетевые сигнатуры для выявления трафика, специфичного для вредоносных программ конкретной группы злоумышленников, могут быть использованы для защиты от связанной с этим трафиком активности на сетевом уровне.