По данным BI.ZONE, 61,6% нелегитимного трафика приходится на переходы на домены, заблокированные внутренними корпоративными правилами организаций. Причем часть переходов происходит умышленно. Сотрудники пытаются получить доступ к заблокированным ресурсам в обход корпоративной политики, например, для использования внешних облачных хранилищ.
Остальная часть такого трафика — переходы по старым ссылкам, из рассылок или при ручном вводе адреса. Но даже такие действия опасны, поскольку могут привести к загрузке вредоносного контента и спровоцировать киберинцидент.
Также хакеры активно используют DNS-протокол, чтобы незаметно управлять вредоносными ПО, красть конфиденциальные данные и обходить базовые средства сетевой защиты.
Дмитрий Царев, руководитель управления облачных решений кибербезопасности, BI.ZONE: «Для обычного пользователя DNS-трафик остается невидимым: человек просто открывает почту или заходит в браузер. Но параллельно с этим идет постоянный поток фоновых DNS-запросов — их автоматически отправляют как легитимные, так и вредоносные программы, о чем пользователь даже не знает. Часть из этих запросов связана с фишингом, вредоносным ПО и теневыми ресурсами. Наша цель — перехватить эти обращения до того, как они приведут к инциденту».
- DNSSEC-аномалии составили 25% нелегитимного трафика. Они возникают, когда проверка DNSSEC показывает, что данные по домену не проходят валидацию.
- 6,8% нелегитимного трафика приходятся на DGA-запросы. Злоумышленники используют их для скрытой связи вредоносного ПО и ботнетов с управляющими серверами (С2). Вредоносные программы генерируют сотни и тысячи доменных имен в сутки, что делает блокировку отдельных адресов неэффективной. DGA часто применяется в целевых атаках для промышленного шпионажа, кражи данных и компрометации систем.
- 6% нелегитимного трафика составляют запросы, связанные с DNS Rebinding (перепривязкой DNS). Это техника, при которой домен переводится на другой IP-адрес — пользователь обращается к одному ресурсу, но запрос перенаправляется на другой. Метод позволяет злоумышленнику обходить защитные механизмы веб-приложений от SSRF.
- DNS-туннели остаются нишевым способом скрытой передачи данных и удаленного управления сетью. За год BI.ZONE Secure DNS зафиксировал более тысячи попыток построить DNS-туннель для скрытого вывода информации из корпоративных сетей, даже оснащенных IDPS- и NTA-системами.
