T1583.002: DNS 服务器

摘要

攻击者可能搭建可在目标定位期间使用的自有域名系统（DNS）服务器。在入侵后活动中，攻击者可能将 DNS 流量用于各种任务，包括命令与控制（例如[应用层协议](https://attack.mitre.org/techniques/T1071)）。攻击者可能选择配置并运行自己的 DNS 服务器以支持操作，而不是劫持现有的 DNS 服务器。 通过运行自己的 DNS 服务器，攻击者可以更好地控制如何管理服务器端 DNS C2 流量（[DNS](https://attack.mitre.org/techniques/T1071/004)）。通过控制 DNS 服务器，攻击者可以配置 DNS 应用程序以向恶意软件提供条件响应，并且通常在基于 DNS 的 C2 通道结构上拥有更大的灵活性。(Citation: Unit42 DNS Mar 2019)