Tag Archives: dns tunneling

Firewall, IDS veya EDR kullanıyor olmanız ağınızdaki tüm tehditleri eksiksiz gördüğünüz anlamına gelmez. Bazı tehditler çok sessiz ilerler: Garip DNS sorguları Bilinmeyen IP adreslerine kısa süreli bağlantılar C2 benzeri outbound trafik Tor exit node erişimleri Malware host bağlantı denemeleri Port scan ve anomali sinyalleri Reserved/bogon IP erişimleri Şüpheli User-Agent veya …

Problem: Trafiğin büyük kısmı şifreli. Sadece URL kategorisi/metadata ile ilerlemek; DoH/DoT, QUIC/HTTP3 ve NRD gibi alanlarda kör noktalar bırakabiliyor. Üstelik kötü amaçlı alan adları kısa ömürlü; IOC’ler hızla değişiyor. Gerçek çözüm: Advanced URL Filtering + DNS Security birlikte çalıştığında, web erişimini URL kategorileri/risk ile kontrol ederken, DNS katmanında DGA, DNS …

APT grupları, siber suçlular ya da iç tehditler… Hepsinin ortak özelliği şu: hemen patlamazlar; yavaş ve düzenli haberleşirler. Bu düşük frekanslı ama ritmik trafik (C2 beaconing), klasik IDS/IPS imzalarına yakalanmadan uzun süre kalabilir. RITA (Real Intelligence Threat Analytics) tam da bu boşluğu hedefler: Zeek loglarından beslenir, “az ama düzenli” giden …