「斗象攻防演练宝典」之“红队隐蔽隧道检测”

通联网络是国内著名的虚拟主机和域名注册提供商。独创的第6代虚拟主机管理系统,拥有在线数据恢复、Isapi自定义,木马查杀等30余项功能.千M硬件防火墙,为您保驾护航!双线虚拟主机确保南北畅通无阻!

「斗象攻防演练宝典」之“红队隐蔽隧道检测”

2022年7月4日 云服务器 0

如今隐匿在网络中的攻击者也广泛使用类似的手段,将秘密信息隐藏在不被人怀疑的文件、会话通信中,这种通信方式就是“隐蔽隧道通讯”。

DNS解析是把域名指向网站空间IP,让人们通过注册的域名可以方便地访问到网站的一种服务。

DNS隧道是指直接将要传递的数据通过DNS报文进行传输。大多数安全防护设备对DNS流量是默认放行的,攻击者利用这一漏洞来偷运数据,以构建一个非常隐蔽的命令控制信道。

红队将相关域名委派至C&C服务器,并在该主机上搭建DNS隧道服务端。当有用户发送域名解析请求时,该主机便会解析该DNS的请求,完成数据接收;若是需要向用户发送指令,则将指令加密编码后传输给用户,用户接收到DNS响应,解析响应内容数据完成指令接收,此时便实现了隐蔽隧道的双向通信。

双向的隐蔽隧道通常需要在目标主机安装恶意程序,然后通过主动或者被动方式与C&C服务器通信,常见的工具有CobaltStrike、dnscat2以及iodine等。

象守采用机器学习技术,规避特征型检测的漏报风险,利用漏洞盒子与象守平台在攻防演练过程中积累的真实正负样本数据,汇集并精选众多有效信息,构建了一套针对ICMP、DNS等协议的隐蔽信道通讯检测模型。

以上文提到的DNS隐蔽隧道攻击为例,象守的DNS隐蔽隧道模型可对DNS隧道流量进行特征挖掘及对DNS协议的各字段进行统计分析,以请求与响应频率、消息平均长度、域名特征等特征为依据,同时结合象守隐蔽隧道静态特征和隐蔽隧道模型,提高隐蔽隧道检出准确率。

经实践证明,象守已能够有效检测利用隧道工具进行的隐蔽通讯行为,为企业在防护过程中添加一位“机器应急响应专家”。

发表回复

您的电子邮箱地址不会被公开。 必填项已用*标注