proto.lib

Phát hiện exfiltration qua DNS tunneling

Malware mã hoá dữ liệu đánh cắp vào nhãn subdomain rồi truy vấn một zone do kẻ tấn công kiểm soát; resolver vẫn ngoan ngoãn chuyển tiếp truy vấn đó ra ngoài dù mọi lối egress khác đã bị chặn — phát hiện dựa vào khối lượng subdomain lạ, entropy nhãn cao, tên dài, TTL thấp và domain mới đăng ký.

SecurityNâng cao2026-08-21
Phát hiện exfiltration qua DNS tunneling

Tags

#dns-exfiltration#dns-tunneling#c2-channel#detection-engineering#sinkhole#egress-control

Tài liệu tham khảo

Mở rộng

Animation gốc là một file HTML tự chứa, có thể nhúng lại ở bất kỳ trang nào khác. Mở file gốc

Liên quan

SecurityNâng cao

Kiểm chứng Detection bằng Atomic Test

Một atomic test mô phỏng an toàn, có phạm vi nhỏ, cho một kỹ thuật ATT&CK cụ thể được chạy trong lab; toàn bộ pipeline được kiểm tra đầu-cuối — telemetry có thu thập, rule có bắn cảnh báo, alert có route đúng hàng đợi, và mất bao lâu — biến độ phủ detection từ một dòng khẳng định trên spreadsheet thành một con số đã đo được.

#atomic-red-team#detection-engineering#mitre-attack#purple-team
SecurityNâng cao

Kiểm soát Egress chống rò rỉ dữ liệu (Exfiltration Control)

Phần lớn hệ thống chỉ giám sát traffic đi VÀO, trong khi bước tiếp theo của một workload bị chiếm quyền là gọi RA ngoài để tải payload giai đoạn hai hoặc gửi dữ liệu đi; giải pháp là egress default-deny với allowlist tường minh, thực thi bởi một identity-aware proxy kiểm tra cả destination lẫn SNI/hostname TLS, và DNS bị ép đi qua resolver có ghi log.

#egress-control#exfiltration#allowlist#identity-aware-proxy
SecurityTrung bình

SIEM: Correlation Rule biến log thành phát hiện

Log từ nhiều nguồn (auth, cloud trail, endpoint, network) được chuẩn hoá về một schema chung rồi một rule correlation ghép sự kiện qua các nguồn — đăng nhập từ quốc gia lạ rồi tải hàng loạt trong vài phút là một phát hiện, dù riêng lẻ mỗi nửa đều bình thường; mỗi rule được gắn với một kỹ thuật ATT&CK để lộ ra khoảng trống độ phủ.

#siem#detection-engineering#correlation-rule#log-normalization