T1071.004: DNS

摘要

攻击者可能使用域名系统(DNS)应用层协议进行通信，通过与现有流量混合来避免检测/网络过滤。发往远程系统的命令，以及这些命令的结果，通常会嵌入客户端与服务器之间的协议流量中。 DNS 协议在计算机网络中起管理作用，因此在环境中可能非常常见。即使在网络认证完成之前，DNS 流量也可能被允许。DNS 数据包包含许多字段和标头，可以在其中隐藏数据。通常被称为 DNS 隧道，攻击者可能滥用 DNS 与受害者网络中受其控制的系统通信，同时模仿正常、预期的流量。(Citation: PAN DNS Tunneling)(Citation: Medium DnsTunneling) DNS 信标可用于通过 DNS 查询向远程系统发送命令。DNS 信标通过隧道传输 DNS 流量(即 [Protocol Tunneling](https://attack.mitre.org/techniques/T1572))来创建。命令可以嵌入到不同的 DNS 记录中，例如 TXT 或 A 记录。(Citation: OilRig Uses Updated BONDUPDATER to Target Middle Eastern Government)DNS 信标可能难以检测，因为信标与受感染设备的通信并不频繁。(Citation: DNS Beacons)不频繁的通信将恶意 DNS 流量隐藏在正常 DNS 流量中。