Een beveiligingsanalist ontvangt waarschuwingen over een intern systeem dat gedurende korte perioden buiten kantooruren een grote hoeveelheid ongebruikelijke DNS-queries naar systemen op het internet stuurt. Wat gebeurt er waarschijnlijk?

De meest waarschijnlijke verklaring voor ongebruikelijke DNS-queries buiten kantooruren is data-exfiltratie. Malware op het interne systeem kan DNS-tunnels gebruiken om gegevens in kleine pakketjes over te dragen naar een externe server, vaak door de gegevens te coderen in DNS-query's of -antwoorden. Dit is een veelvoorkomende methode om detectie te omzeilen, omdat DNS-verkeer vaak minder streng wordt geïnspecteerd dan ander uitgaand verkeer. Een worm verspreidt zich meestal door netwerkscans en exploits, wat niet direct verklaart waarom er grote hoeveelheden DNS-queries plaatsvinden. Een logic bomb verwijdert gegevens, maar genereert geen ongebruikelijke DNS-verkeerspatronen. Ransomware versleutelt bestanden en vraagt om losgeld, wat ook niet gekenmerkt wordt door een toename van DNS-queries.