「斗象攻防演练宝典」之“红队隐蔽隧道检测”

程序员小强_

已于 2024-01-19 14:20:05 修改

阅读量97

点赞数

文章标签：网络服务器运维

于 2023-07-22 10:33:23 首次发布

本文链接：https://blog.csdn.net/dzqxwzoe/article/details/131864755

版权

文章介绍了DNS隐蔽隧道的攻击原理，其中攻击者利用DNS流量默认放行的特性进行数据传输。通过DNS解析与DNS隧道的交互，实现隐蔽的双向通信。此外，文章提到了利用机器学习技术的象守平台，能有效检测此类隐蔽通讯行为，增强企业安全防护能力。文中还给出了网络安全工程师的学习路线。

摘要由CSDN通过智能技术生成

如今隐匿在网络中的攻击者也广泛使用类似的手段，将秘密信息隐藏在不被人怀疑的文件、会话通信中，这种通信方式就是“隐蔽隧道通讯”。

下面引用一个真实的攻防演练场景来看看隐蔽隧道的攻击与检测是如何进行的。

1 DNS解析与DNS隧道

DNS解析是把域名指向网站空间IP，让人们通过注册的域名可以方便地访问到网站的一种服务。

DNS隧道是指直接将要传递的数据通过DNS报文进行传输。大多数安全防护设备对DNS流量是默认放行的，攻击者利用这一漏洞来偷运数据，以构建一个非常隐蔽的命令控制信道。

红队将相关域名委派至C&C服务器，并在该主机上搭建DNS隧道服务端。当有用户发送域名解析请求时，该主机便会解析该DNS的请求，完成数据接收；若是需要向用户发送指令，则将指令加密编码后传输给用户，用户接收到DNS响应，解析响应内容数据完成指令接收，此时便实现了隐蔽隧道的双向通信。

双向的隐蔽隧道通常需要在目标主机安装恶意程序，然后通过主动或者被动方式与C&C服务器通信，常见的工具有CobaltStrike、dnscat2以及iodine等。

如图所示，为某内网主机被安装DNS隐蔽隧道工具，运行后产生的恶意流量。

下滑查看解密结果
下滑继续查看告警

象守采用机器学习技术 ，规避特征型检测的漏报风险，利用漏洞盒子与象守平台在攻防演练过程中积累的真实正负样本数据，汇集并精选众多有效信息，
构建了一套针对ICMP、DNS等协议的隐蔽信道通讯检测模型。

以上文提到的DNS隐蔽隧道攻击为例，象守的 DNS隐蔽隧道模型
可对DNS隧道流量进行特征挖掘及对DNS协议的各字段进行统计分析，以请求与响应频率、消息平均长度、域名特征等特征为依据，同时结合象守
隐蔽隧道静态特征 和 隐蔽隧道模型 ，提高隐蔽隧道检出准确率。

经实践证明，象守 已能够有效检测利用隧道工具进行的隐蔽通讯行为 ，为企业在防护过程中添加一位“机器应急响应专家”。

如果你对网络安全入门感兴趣，那么你需要的话可以点击这里👉网络安全重磅福利：入门&进阶全套282G学习资源包免费分享！

[外链图片转存失败,源站可能有防盗链机制,建议将图片保存下来直接上传(img-wrOtQItu-1689993193216)(C:\Users\Administrator\Desktop\网络安全资料图\微信截图_20230201105953.png)]

[外链图片转存中…(img-wrOtQItu-1689993193216)]

关注