ドメインネームシステム（DNS）は、securitytut.comなどの人間にわかりやすいURLを183.33.24.13などのIPアドレスに変換するプロトコルです。DNSメッセージは各通信の開始としてのみ使用され、データ転送を目的としていないため、多くの組織はDNSトラフィックの悪意のあるアクティビティを監視していません。その結果、DNSベースの攻撃は、ネットワークに対して開始された場合に効果的である可能性があります。DNSトンネリングはそのような攻撃の1つです。
DNSトンネリングの例を以下に示します。

攻撃者は、多くのオープンソースDNSトンネリングキットの1つを、信頼できるDNSネームサーバー（NS）と悪意のあるペイロードに組み込みます。
2. IPアドレス（例：1.2.3.4）が攻撃者のインフラストラクチャから割り当てられ、ドメイン名（例：attackerdomain.com）が登録または再利用されます。レジストラは、トップレベルドメイン（.com）ネームサーバーに、attackerdomain.comへの要求を1.2.3.4にマップされたDNSレコードを持つns.attackerdomain.comに参照するように通知します。
3.攻撃者は、悪意のあるペイロードでシステムを侵害します。目的のデータが取得されると、ペイロードはデータを一連の32文字（0-9、AZ）として短い文字列（3KJ242AIE9、P028X977W、...）に分割してエンコードします。
4.ペイロードは、ドメイン名の一部として各文字列を使用して、攻撃者のドメインに対して何千もの一意のDNSレコード要求を開始します（例：3KJ242AIE9.attackerdomain.com）。攻撃者の忍耐力とステルス性に応じて、疑わしいネットワークアクティビティを回避するために、要求を数日または数か月にわたって間隔を空けることができます。5.要求は再帰DNSリゾルバーに転送されます。解決中に、要求は攻撃者の権限のあるDNSネームサーバーに送信されます。6。トンネリングキットは、エンコードされた文字列を解析し、盗み出されたデータを再構築します。参照：https：//learn-umbrella.cisco.com/i/775902-dns-tunneling/0
5.要求は再帰DNSリゾルバーに転送されます。解決中に、要求は攻撃者の権限のあるDNSネームサーバーに送信されます。
6.トンネリングキットは、エンコードされた文字列を解析し、抽出されたデータを再構築します。
ドメイン名の一部（例：3KJ242AIE9.attackerdomain.com）。攻撃者の忍耐力とステルス性に応じて、疑わしいネットワークアクティビティを回避するために、要求を数日または数か月にわたって間隔を空けることができます。5.要求は再帰DNSリゾルバーに転送されます。解決中に、要求は攻撃者の権限のあるDNSネームサーバーに送信されます。6。トンネリングキットは、エンコードされた文字列を解析し、盗み出されたデータを再構築します。参照：https：//learn-umbrella.cisco.com/i/775902-dns-tunneling/0