Tunneling DNS y DGA

El tunneling DNS codifica datos en nombres o respuestas para usar DNS como canal de transporte. Un algoritmo de generación de dominios (DGA) crea muchos nombres cambiantes para localizar infraestructura de mando. Entre las señales posibles hay subdominios largos, alta aleatoriedad, muchos NXDOMAIN, frecuencia inusual o tráfico concentrado en un host.

Ninguna señal demuestra por sí sola una infección. CDN, telemetría, correo y aplicaciones legítimas también pueden generar patrones raros. Compara con una línea base y correlaciona cliente, destino, proceso, telemetría del endpoint y hora. Conserva registros con acceso y retención adecuados a la privacidad.

Un cliente de laboratorio que genera cientos de consultas a nombres aleatorios merece análisis, no un veredicto automático de malware. Combina resolutor gestionado, telemetría, límites de frecuencia y análisis del host. Las reglas de bloqueo deben tener motivo y caducidad.

Comprueba lo aprendido

Elige la mejor respuesta. Los ejemplos usan nombres didácticos y no envían consultas DNS reales.

Cuestionario#dns.m15.l1.e1

¿Cuál es una respuesta adecuada ante un patrón DNS extraño?

Bloquear todo nombre largo sin analizarloUsar las señales para iniciar triaje y correlaciónConcluir que todo NXDOMAIN es un ataque