私はこのトピックの調査に少し時間を費やしましたが、正確な答えを見つけることができないようですので、重複していないと確信しています。私の質問はセキュリティのニーズに基づいていますが、まだ安全だと思いますここで質問しますが、セキュリティコミュニティに移動する必要があるかどうかを教えてください。
基本的に、DNSクエリはTCPを使用しますか（使用している場合、どのようなシナリオが発生する可能性がありますか）？繰り返しますが、私は単にクエリについて話しているだけです。TCPを介して旅行することは可能ですか？ドメインの最大長が253バイトで、UDPパケットのサイズが512バイトの場合、クエリは常にUDPとして送信されませんか？解決可能なクエリは、TCPの使用を必要とするほど大きくなるとは思わなかった。DNSサーバーが253バイトを超えるドメインのリクエストを受け取った場合、サーバーはそれをドロップするか、解決しようとしませんか？ここでいくつかの誤った仮定をしたことは確かです。
いくつかのコンテキストでは、セキュリティグループと協力してDNSクエリをセキュリティ監視ツールに組み込み、さまざまな理由で、DNSサーバーおよびドメインコントローラーでの標準パケットキャプチャを介してこのトラフィックをキャプチャすることを決定しました。コア要件は、すべてのDNSクエリをキャプチャして、特定のドメインを解決しようとしたクライアントを特定できるようにすることです。この要件に基づいて、DNS応答やゾーン転送などの他のトラフィックをキャプチャする必要はありません。これは、ログボリュームを可能な限り制限する必要があるという事実によっても引き起こされます。そのため、DNSサーバー宛てでUDP経由で送信されるDNSクエリのみをキャプチャすることを計画しています。より多くのコンテキスト（ここに忍び寄る質問の種類）については、セキュリティを拡張する必要があるかもしれないということが明らかになりました。可視性により、DNSを介して実行される隠れチャネルなどのアクティビティを監視できます（DNS応答、さらにはTCPトラフィックもキャプチャする必要があります）。しかし、そのようなシナリオでさえ、アウトバウンドDNSトラフィックはルックアップ/クエリの形式であり、悪意のあるソースからのものであっても、これらは常にUDP経由であると考えました（最初の段落の私の理由のため）。そのため、次の追加の質問が表示されます。
少なくとも、私が説明したアプローチで会話の半分をキャプチャすることになるでしょうか？または、クライアントはクエリの形式ではないDNSトラフィックを送信するでしょうか？（DNSサーバーの応答に対する何らかの応答のようであり、TCPを介して送信される可能性があります）
TCPを使用するようにDNSクエリを変更できますか？DNSサーバーは、TCP経由のDNSクエリを受け入れて応答しますか？
関連性があるかどうかはわかりませんが、DNSリクエストを許可されたDNSサーバーに制限し、ポート53経由のその他すべてのトラフィックをブロックします。私は間違いなく新人なので、質問が準拠していない場合は申し訳ありません。変更方法。