El Túnel del Sistema de Nombres de Dominio (DNS) es un método común para que los hackers exploten el servicio DNS con fines maliciosos, como exfiltrar datos sensibles de la organización o infiltrar malware. Este artículo explica cómo el motor IPS en el Cato Cloud protege su red de los ataques de malware del túnel DNS.
Cuando configura la política de IPS para bloquear el tráfico, esto también activa las protecciones del Cato Cloud contra los ataques del túnel DNS para su cuenta.
El Cato Cloud analiza las solicitudes de DNS e identifica posibles ataques de túnel DNS basados en estas propiedades:
-
Tamaño de paquete: la longitud de las solicitudes puede indicar comunicación anómala a través de DNS. Los paquetes de DNS grandes son anómalos e indican un posible ataque.
-
Tipo de registro – Los registros de recursos (RR) que asignan dominios a direcciones IP (como registros A y AAAA) son los más comunes en el uso del protocolo DNS pero están restringidos a una longitud de respuesta corta. Cuando se intercambian datos a través de DNS, el uso de RR puede variar para permitir que se transporte más datos y puede indicar un ataque.
-
Ratio único – Las consultas y respuestas DNS que llevan información codificada son probablemente únicas. Cuando hay un nivel alto de subdominios únicos en una consulta, esto puede indicar un ataque.
Para proteger a los clientes del túnel DNS relacionado con hackers maliciosos, Cato utiliza algoritmos de aprendizaje automático para detectar anomalías en todas las consultas de DNS salientes. El tráfico DNS entre cada sitio conectado al Cato Cloud y cada dominio único se analiza sin conexión en un período de 24 horas. Los dominios con una baja reputación que reciben consultas DNS anómalas frecuentes se registran automáticamente al día siguiente. Luego, la política de IPS para todas las cuentas puede bloquear el tráfico DNS relevante para estos dominios.
Además, Cato previene la exfiltración de datos a través del túnel DNS usando un conjunto de heurísticas que desencadenan al IPS para bloquear el tráfico. Estas heurísticas han sido probadas en múltiples herramientas y técnicas de túnel DNS. Esta prevención en tiempo real se logra incluso sin conocer al actor de la amenaza o el nombre del dominio, y complementa los algoritmos de aprendizaje automático de Cato.
0 comentarios
Inicie sesión para dejar un comentario.