Tunelado DNS (DNS tunnelling)
En seguridad ofensiva, el tunelado DNS codifica datos dentro de consultas y respuestas de DNS para crear un canal encubierto de exfiltración o de mando y control. Como el DNS casi siempre tiene permitida la salida, sobrevive a un filtrado que bloquea todo lo demás, y por eso un red team recurre a él cuando las otras rutas están cerradas.
Cómo funciona
La resolución DNS es una petición con respuesta que casi todas las redes permiten hacia fuera, incluso cuando el tráfico web directo y el resto están filtrados, porque la resolución de nombres tiene que funcionar. El tunelado abusa de eso. El atacante controla el servidor de nombres autoritativo de un dominio; una máquina comprometida codifica datos en las etiquetas de una consulta a ese dominio (por ejemplo, como subdominios), la consulta la resuelven los propios resolutores de la organización hacia el servidor del atacante, y la respuesta trae datos de vuelta. Encadenando muchas de esas resoluciones se obtiene un canal bidireccional lento pero fiable, capaz de transportar tráfico de mando y control o de exfiltrar datos. No es rápido, pero no necesita serlo: necesita estar permitido.
Qué sale mal
El hueco que aprovecha es una política de salida que se detiene en los protocolos obvios. Los equipos bloquean la navegación saliente hacia destinos desconocidos pero dejan que las máquinas internas consulten libremente a servidores de nombres externos, o encaminan el DNS por un resolutor que nunca inspecciona el volumen ni la forma de lo que está resolviendo. Desde el lado ofensivo, este es el recurso de reserva cuando el objetivo ha hecho bien el trabajo visible: proxies, filtrado web y puertos cerrados, pero se olvidó de que el DNS es un canal. La señal es de comportamiento (una máquina que genera una tasa alta de resoluciones inusuales hacia un mismo dominio, o consultas con etiquetas largas y de alta entropía), que es justo la señal que se le escapa a un parque centrado en bloquear en vez de en mirar.
Dónde aparece esto en una auditoría
Probamos si un canal encubierto sale de verdad, DNS incluido, y dejamos anotado el camino: a qué resolutores puede llegar una máquina comprometida, si se inspeccionan el volumen y la forma de las consultas, y si el canal se pudo establecer de extremo a extremo. El hallazgo se escribe contra el hueco de filtrado de salida y de detección que lo permitió. Convive con otras técnicas de sigilo como DNS over HTTPS a la hora de camuflar el tráfico de mando dentro de los flujos permitidos. Esto forma parte de cómo probamos si los canales encubiertos consiguen salir.