Ну да, когда атака маскируется под обычный DNS или HTTPS, сразу понятно — БлюТим в жо... ой, в танке. Зато когда цепочку схватишь — вроде и не шумиха, и следов почти нет. Главное, чтобы защитники не свалились в «ну это ж легитимный трафик» и начали наконец смотреть на всю эту движуху комплексно, а не через одну DNS-запросообразную лупу. А то туннелирование — как призрак на корпоративном шоу.