فاحص مؤشرات أنفاق DNS

تعمل في المتصفح جديد أمان الإنترنت والخصوصية

نفق DNS يهرّب البيانات داخل أسماء الاستعلامات نفسها، فيترك بصمة يمكن قراءتها من السجل: تسميات قريبة من حد 63 حرفاً بأبجدية مرمّزة، وأسماء لا تتكرر تحت نطاق واحد، واستعلامات TXT أو NULL كثيرة. الصق الأسماء أو أسطر السجل فتُقاس كل تسمية وتُجمّع الأسماء حسب النطاق ويُحتسب مجموع مؤشرات من 100 — داخل متصفحك فقط. والنتيجة دليل يستحق التحقيق، لا حكم بوجود نفق.

الخصوصية: تعمل هذه الأداة بالكامل في متصفحك. لا تغادر بياناتك جهازك أبداً.

ما نفق DNS وكيف يظهر في سجلات DNS؟

ينقل نفق DNS البيانات داخل استعلامات DNS وإجاباتها — مرمّزةً في تسميات أسماء تحت نطاق يتحكم فيه المهاجم — فيعبر الشبكات التي تسمح بـ DNS وتحجب ما سواه، لأغراض القيادة والتحكم أو تسريب البيانات. ولأن كل جزء من البيانات يحتاج اسماً جديداً، يظهر في سجلات المحلّل أسماءً فرعية كثيرة طويلة عالية الإنتروبيا لا تتكرر تحت نطاق واحد، غالباً مع استعلامات TXT أو NULL؛ ويتناول دليل NIST SP 800-81r3 مراقبة حجم استعلامات DNS وأنماطها لكشف تسريب البيانات.

ملاحظة أمنية: تحقّق قبل أن تحجب: كثير من منتجات الأمان والقياس عن بُعد تستخدم أسماء DNS مرمّزة عن قصد. اجمع أولاً عنوان الجهاز ومالك النطاق والنمط الزمني، واحتفظ بالأدلة.

كيفية استخدام فاحص مؤشرات أنفاق DNS

  1. صدّر الاستعلامات من المحلّل أو من التقاط الحزم: مثلاً sort | uniq -c على أسماء الاستعلامات، أو سجل استعلامات dnsmasq أو BIND، أو سجل تصحيح DNS في Windows، أو dns.log من Zeek، أو مخرجات tcpdump.
  2. الصق حتى 50,000 سطر واضغط «افحص المؤشرات».
  3. اقرأ النتيجة مع جدول النطاقات الأكثر نشاطاً: النطاق الذي يحمل أسماء كثيرة مرمّزة المظهر هو الذي يستحق التحقيق.
  4. تحقّق قبل أي إجراء: اعرف الجهاز الذي أرسل الاستعلامات، ومالك النطاق، وهل يستمر النمط مع الوقت.

مزايا فاحص مؤشرات أنفاق DNS

  • يقرأ أسماء الاستعلامات المجردة، وقوائم «العدد الاسم» الناتجة عن sort | uniq -c، وأسطر سجلات dnsmasq وBIND وسجلات تصحيح DNS في Windows وZeek وtcpdump
  • يقيس كل اسم تحت نطاقه القابل للتسجيل: طول التسمية، وإنتروبيا Shannon، والأبجديات السداسية عشرية وشبيهة base32، وسلاسل الأرقام الطويلة، وعمق التداخل
  • يجمّع الأسماء حسب النطاق بالاستعانة بقائمة اللواحق العامة، وينبّه إلى النطاق الذي يجمع أسماء فرعية كثيرة مميزة مرمّزة المظهر — وهي أوضح بصمة للنفق
  • يستفيد من نوع السجل حين يتوفر في الأسطر: سجلات NULL، وغلبة استعلامات TXT أو CNAME
  • يحتسب اثني عشر مؤشراً بأوزان ثابتة، ويعرض حتى خمسة أسماء مثالاً لكل مؤشر، ويصوغ النتيجة مؤشرات قليلة أو بعض المؤشرات أو مؤشرات قوية — لا حكماً قاطعاً
  • يعمل كله داخل متصفحك: لا تغادر جهازك السجلات التي تحمل أسماء مضيفات داخلية وعناوين عملاء

المدخلات والمخرجات

المدخلات

  • أسماء استعلامات DNS أو أسطر السجل — اسم في كل سطر، حتى 50,000 سطر (2 ميغابايت). تُتخطّى الأسطر التي تبدأ بـ # أو ; والأسطر التي تتجاوز 4,096 حرفاً، ويُجمع العدد في أسطر «العدد الاسم» القصيرة، وفي سجل dnsmasq لا يُعدّ من كل استعلام إلا سطر query[…]‏ دون أسطر forwarded وreply وcached التابعة له.
  • أنواع السجلات — تُقرأ من السطر حين توجد (query[TXT] أو IN TXT أو TXT? أو عمود النوع)؛ ومن دونها لا تعمل مؤشرات TXT وNULL وCNAME.

المخرجات

  • الملخّص — مجموع المؤشرات من 100، والقراءة (مؤشرات قليلة أو بعض المؤشرات أو مؤشرات قوية)، والأسماء المميزة، وإجمالي الاستعلامات، والأسطر التي تحمل نوع سجل، وأطول تسمية.
  • المؤشرات — كل مؤشر ظهر، ووزنه، وسبب أهميته، وحتى خمسة أسماء مثالاً.
  • النطاقات الأكثر نشاطاً — حتى عشرة نطاقات مع أسمائها المميزة واستعلاماتها وأسمائها المرمّزة المظهر ومتوسط طول تسمياتها.
  • القياسات وما الخطوة التالية — النسب التي يقوم عليها المجموع، والخطوات التالية.

مثال على فاحص مؤشرات أنفاق DNS

سجل محلّل فيه دفعة استعلامات TXT وNULL إلى نطاق واحد

الإدخال:

  412 www.google.com
  138 fonts.gstatic.com
   57 api.github.com
query[A] login.microsoftonline.com from 10.0.0.12
query[TXT] 3fa9c1e8b2d47a0c5e9f1b3d7a2c4e6b.0.t.cdn-sync.example from 10.0.0.23
query[TXT] 9b2e7d41c0a8f35e6d1b9c2a7e4f8d03.1.t.cdn-sync.example from 10.0.0.23
… 8 more TXT lines like these …
query[NULL] mz7q4x8w1v5b6n3c9p0r2k8j4h6g1f5d.a.t.cdn-sync.example from 10.0.0.23
query[NULL] r4t8y2u6i0o3p7a1s5d9f2g6h0j4k8l1.b.t.cdn-sync.example from 10.0.0.23

النتيجة:

مجموع المؤشرات 95/100 (ليس دليلاً على وجود نفق) · القراءة: مؤشرات قوية · أسماء مميزة 16 · الاستعلامات 620 · أسطر بنوع سجل 13 · أطول تسمية 32
تسميات عشوائية المظهر 25 · سجلات NULL ‏20 · تسميات مرمّزة سداسياً 15 · غلبة استعلامات TXT ‏15 · أسماء مميزة كثيرة تحت نطاق واحد 10 · أسماء قليلة تُستعلم كثيراً 10 (www.google.com, fonts.gstatic.com)
النطاق الأكثر نشاطاً: cdn-sync.example — 12 اسماً مميزاً، 12 منها مرمّزة المظهر، ومتوسط طول التسمية 11.3
أسماء فيها تسمية عالية الإنتروبيا 75% · حصة TXT ‏77% · حصة NULL ‏15%

كيف تقرأ نتائج فاحص مؤشرات أنفاق DNS

«مؤشرات قوية» تعني أن عدة إشارات مستقلة تشير إلى نطاق واحد — عادةً أسماء مميزة كثيرة مرمّزة مع غلبة TXT أو NULL. إنها خيط يستحق التحقيق، لا نتيجة تثبت أن البيانات تُسرَّب.

الإيجابيات الكاذبة شائعة ومتوقعة: فحوص مضادات الفيروسات والسمعة، وشبكات توزيع المحتوى، واستعلامات DNSBL، ومحدِّدات DKIM، وفحوص الشهادات (OCSP)، وبعض أدوات القياس عن بُعد، كلها تنتج أسماء تشبه البصمات. اعرف مالك النطاق قبل أن تستنتج شيئاً.

«أسماء قليلة تُستعلم كثيراً» وحدها تعني غالباً خدمة مشروعة كثيرة الاستخدام؛ وتصبح مهمة حين تحمل الأسماء نفسها تسميات مرمّزة أو تُستعلم بفاصل زمني ثابت.

«مؤشرات قليلة أو معدومة» لا تعني أن الشبكة سليمة: النفق البطيء، أو الترميز الشبيه بالكلمات، أو DNS عبر HTTPS إلى محلّل خارجي، لا يترك أياً من هذه الآثار في سجل المحلّل المحلي.

متى تستخدم فاحص مؤشرات أنفاق DNS

  • فرز تنبيه أمني عن حركة DNS غير معتادة من جهاز واحد.
  • مراجعة سجل المحلّل أثناء حادثة بحثاً عن إشارات قيادة وتحكم أو تسريب بيانات.
  • تعريف الفريق بشكل نفق DNS من خلال التقاط من أداة مختبرية مثل iodine أو dnscat2.
  • التحقق مما إذا كان منتج أمني أو أداة قياس جديدة ستبدو نفقاً لأنظمة المراقبة قبل السماح بها.

استكشاف الأخطاء وإصلاحها

  • «لم يُعثر على أسماء استعلامات»: يجب أن يحتوي كل سطر اسماً منقّطاً مثل host.example.com، وتُتخطّى الأسطر التي لا تحمل إلا عناوين أو أسماءً بتنسيق لا يعرفه القارئ. استخرج عمود الاستعلام أولاً إن لزم.
  • حصص TXT وNULL وCNAME تظهر «—»: الأسطر لا تحمل نوع سجل. أضف عمود النوع من سجلك، أو صدّر أسطراً مثل query[TXT] name.
  • خدمة معروفة تحصل على مجموع مرتفع: انظر إلى نطاقها في جدول النطاقات الأكثر نشاطاً — كثير من المزوّدين يستخدمون أسماء تشبه البصمات عمداً. احذف أسطرها وأعد الفحص لترى ما يبقى.
  • الأعداد تبدو خاطئة: لا يُقرأ الرقم عدداً إلا في أسطر «العدد الاسم» أو «الاسم العدد» القصيرة؛ أما في أسطر السجل الكاملة فتُتجاهل الأرقام ويُحسب كل سطر مرة واحدة.

الأسئلة الشائعة حول فاحص مؤشرات أنفاق DNS

هل يعني المجموع المرتفع أن أحداً يهرّب بيانات عبر DNS؟

لا. يجمع المجموع أنماطاً تنتجها الأنفاق — تسميات طويلة عشوائية المظهر، وأسماء مميزة كثيرة تحت نطاق واحد، وحركة يغلب عليها TXT أو NULL — لكن خدمات مشروعة تنتجها أيضاً. هو يدلّك أين تنظر، والتأكيد يحتاج إلى معرفة الجهاز الذي أرسل الاستعلامات ومالك النطاق والنمط عبر الزمن.

ما صيغ السجلات التي يمكنني لصقها؟

أسماء مجردة اسماً في كل سطر؛ وقوائم «العدد الاسم» من sort | uniq -c؛ وأسطر dnsmasq ‏(query[TXT] name)، وسجلات استعلامات BIND، وسجلات تصحيح DNS في Windows بأسماء مثل (3)www(7)example(3)com(0)، وdns.log من Zeek، ومخرجات tcpdump. ويُلتقط نوع السجل إن وُجد في السطر.

لماذا تبدو خدمة معروفة ومشروعة مريبة؟

لأن فحوص مضادات الفيروسات والسمعة، وشبكات توزيع المحتوى، واستعلامات القوائم السوداء (DNSBL)، ومحدِّدات DKIM، وفحوص الشهادات ترمّز البصمات أو المعرّفات داخل أسماء DNS عمداً. ابحث عن مالك النطاق؛ فإن كان مزوّداً تستخدمه فالنمط متوقَّع.

هل يُرسل سجلّي إلى أي جهة؟

لا. يعمل كل شيء في متصفحك، ولا تغادر الأسماء وأسطر السجل جهازك، فتبقى أسماء المضيفات الداخلية وعناوين العملاء خاصة.

كم استعلاماً ينبغي أن ألصق؟

بضع مئات أو أكثر من محلّل واحد أو جهاز واحد على مدى فترة من الوقت. ومع أقل من 10 أسماء مميزة لا تتجاوز القراءة «بعض المؤشرات»، والعيّنات الصغيرة تفوّت أنماط الحجم التي تصنعها الأنفاق.

ملاحظات تقنية

أسماء DNS محدودة بـ 63 حرفاً لكل تسمية و253 حرفاً للاسم كله (RFC 1035). والنفق يرمّز البيانات داخل التسميات — بأبجدية سداسية عشرية أو base32 أو شبيهة base64 — ويحتاج اسماً جديداً لكل جزء من البيانات لأن المحلّلات تحفظ الإجابات المتكررة، فينتج أسماء فرعية كثيرة طويلة عالية الإنتروبيا لا تتكرر تحت نطاق واحد يتحكم فيه.

تُحسب إنتروبيا Shannon لكل تسمية بالبتّات لكل حرف. ولأن الكلمات الطويلة الموصولة بشرطات تسجّل قيماً مرتفعة أيضاً، لا تُعدّ التسمية عشوائية المظهر إلا إذا بلغت 16 حرفاً على الأقل وإنتروبيا 3.5 فأكثر وخلت من بنية الكلمات (ثلاث سلاسل أرقام أو أكثر، أو حروف علّة قليلة جداً مع سلسلة سواكن طويلة).

نطاق الاسم هو نطاقه القابل للتسجيل بحسب قائمة اللواحق العامة؛ وتُحسب أسماء DNS العكسية (in-addr.arpa وip6.arpa) أسماءً لكنها لا تُعدّ تسميات مرمّزة أبداً. وتحتاج مؤشرات النطاق الثقيلة أن تبدو تسميات النطاق مرمّزة أيضاً، لأن شبكة توزيع محتوى أو مزوّد بريد ينتج مئات الأسماء الشبيهة بالكلمات من تلقاء نفسه.

يجمع المجموع أوزاناً ثابتة لكل مؤشر (من 5 إلى 25 نقطة) بحد أقصى 100: أقل من 25 يعني مؤشرات قليلة أو معدومة، ومن 25 إلى 59 بعض المؤشرات، و60 فأكثر مؤشرات قوية؛ ومع أقل من 10 أسماء مميزة لا تتجاوز القراءة «بعض المؤشرات». ويتناول دليل NIST SP 800-81r3 لنشر DNS بأمان مراقبة حجم استعلامات DNS وأنماطها لكشف تسريب البيانات؛ أما قياسات التسميات هنا فهي معايير هذه الأداة نفسها.

الحدود ومنهجية القياس

هذا استدلال على الأسماء (والأنواع إن وُجدت)، لا كشف للأنفاق: فهو لا يرى الإجابات ولا التوقيت ولا أحجام البيانات ولا الجهاز وراء كل استعلام، وكلها يحتاجها التحقيق الكامل.

لا يُحلَّل إلا ما تلصقه، والعيّنة القصيرة تعطي قراءة ضعيفة. أما DNS عبر HTTPS أو عبر TLS إلى محلّل خارجي فلا يظهر في سجل المحلّل المحلي أصلاً.

تُجمّع النطاقات بقائمة اللواحق العامة المضمّنة؛ والأسماء التي لا تستطيع تحليلها تُردّ إلى آخر تسميتين أو ثلاث، ما قد يدمج نطاقات أو يفصلها في حالات نادرة.

الأمان والخصوصية

يجري التحليل كله في متصفحك: الأسماء وأسطر السجل الملصوقة — وقد تحمل أسماء مضيفات داخلية وعناوين عملاء — لا تُرسل أبداً إلى خادم متقن ولا إلى أي جهة أخرى.

المراجع