01Was DNS-Exfiltration ist
Ein Programm zerlegt eine Datei in Stücke, kodiert jedes Stück in Buchstaben und Ziffern und fragt Namen wie 4a6f686e20446f652c207061737377.x.example.com. Die Nameserver dieser Domain gehören dem Angreifer: Sie empfangen die Stücke, und ihre Antworten können Befehle zurückbringen. Werkzeuge wie iodine oder dnscat2 bauen so einen ganzen Tunnel.
MITRE ATT&CK, der Referenzkatalog der Techniken von Angreifern, führt sie unter drei Techniken: T1048 (Exfiltration über ein alternatives Protokoll), T1071.004 (Command and Control über DNS) und T1572 (Protokoll-Tunneling).
02Was Warda prüft
Auf der Karte Datenabfluss über DNS der Schutzeinstellungen (kostenlos, standardmäßig an) liest Warda die gefragten Namen, auf der Box, und sonst nichts: Nichts wird entschlüsselt, und die Namen (die Daten) werden nie aufbewahrt.
- Kodierte Namen: Der Teil unter der Domain ist sehr lang (100 Zeichen oder mehr), oder sein längstes Label hat 20 Zeichen oder mehr und wirkt zufällig: hohe Entropie mit eingemischten Ziffern, oder fast keine Vokale.
- Viele davon: Fragt ein Gerät binnen 10 Minuten 40 verschiedene kodierte Namen unter derselben Domain, wird diese Domain für dieses Gerät 24 Stunden gesperrt, und die Administratoren erhalten eine Warnung.
- Ab Warda 0.9.10 ein zweites Signal: Fragt ein Gerät binnen 10 Minuten 30 verschiedene Namen unter einer Domain mit einem ungewöhnlichen Eintragstyp ab (TXT, NULL, MX, CNAME, ANY…), wird die Domain auch dann für dieses Gerät gesperrt. Kurze Namen (unter 8 Zeichen unterhalb der Domain) und Labels, die mit „_“ beginnen — was Mailserver und Dienste den ganzen Tag fragen: _dmarc, _domainkey, _spf —, bleiben außen vor. Warda 0.9.10 listet auch die Geräte, die einen anderen DNS-Server als Warda fragen.
- Dienste, die absichtlich kodieren (die Sperrlisten der Mailserver, die Abfragen von Virenschutzprogrammen, die geteilten Namen der Clouds), sind ausgenommen; Diese Domain erlauben hebt eine Sperre für einen vertrauenswürdigen Dienst auf.
03Was ringsum hilft
Ein Tunnel braucht eine eigene Domain, oft eine neue. Andere Schutzfunktionen von Warda schließen die Umwege:
- die Kategorie der neuen Domains, nach Profil zu sperren, und die Reputation der Domains, die den Analysedienst von Warda zu einer Domain befragt, die der Haushalt kaum kennt (nur die Domain verlässt die Box);
- die Kategorie der Umgehungen des Filters: die bekannten Dienste für DNS over HTTPS, VPN und Proxy, für Kinder und Jugendliche gesperrt, und iCloud Privat-Relay für ihre Geräte zu Hause;
- der Testname von Firefox, use-application-dns.net, den Warda mit „existiert nicht“ beantwortet: Firefox behält dann das DNS des Netzwerks statt seines eigenen.
04Die Grenzen, offen gesagt
- Eine Anfrage, die direkt an 8.8.8.8 geht, erreicht Warda nie: Die DNS-Ports für die anderen Geräte zu schließen, ist Aufgabe des Routers.
- Ein langsames Leck wird nicht gesehen: weniger als etwa 4 kodierte Namen pro Minute (40 in 10 Minuten) oder 3 Namen ungewöhnlicher Typen pro Minute (30 in 10 Minuten) bleiben unter den Schwellen.
- Ein Tunnel in einer verschlüsselten Verbindung zu einem öffentlichen Resolver (DNS over HTTPS auf Port 443) zeigt Warda nichts, außer der Dienst ist bekannt und gesperrt.
- Eine Warnung sagt, dass sich ein Gerät wie ein Tunnel verhält, nicht welches Programm es tut: Prüfen Sie das Gerät und stellen Sie es währenddessen unter Quarantäne.