{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/da\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"Minimering af risici ved brug af DNS-over-TLS (DoT) og DNS-over-HTTPS (DoH)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MinimeringMinimering af risici ved brug af DoH og DoT<\/p>\n

Beskyttelse mod DoH og DoT<\/h2>\n

Har du kontrol over din DNS-trafik? Organisationer investerer mange ressourcer i at sikre deres netv\u00e6rk. En af de omr\u00e5der, der ofte overses, er DNS. <\/p>\n

En god oversigt over de risici, som DNS medf\u00f8rer, er pr\u00e6sentationen fra Verisign<\/a><\/noindex> p\u00e5 konferencen Infosecurity. <\/p>\n

\"Minimering31% af de unders\u00f8gte typer af ransomware brugte DNS til n\u00f8gleudveksling. Unders\u00f8gelsens resultater<\/p>\n

31% af de unders\u00f8gte typer af ransomware brugte DNS til n\u00f8gleudveksling.<\/p>\n

Problemet er alvorligt. If\u00f8lge forskningslaboratoriet Palo Alto Networks Unit 42 bruger ca. 85% af malware DNS til at etablere en kommandokontrolkanal, hvilket g\u00f8r det nemt for angribere at inds\u00e6tte skadelig software i dit netv\u00e6rk og stj\u00e6le data. Siden sin oprettelse har DNS-trafik prim\u00e6rt v\u00e6ret ukrypteret og let at analysere gennem NGFW-beskyttelsesmekanismer. <\/p>\n

Der er kommet nye protokoller til DNS, der er designet til at forbedre fortroligheden af DNS-forbindelser. De st\u00f8ttes aktivt af f\u00f8rende browserleverand\u00f8rer og andre softwareudbydere. Snart vil der v\u00e6re en stigning i krypteret DNS-trafik i virksomhedsn\u00e4tv\u00e6rk. Krypteret DNS-trafik, der ikke analyseres korrekt og er tilladt, udg\u00f8r en sikkerhedstrussel for virksomheden. For eksempel er en s\u00e5dan trussel kryptolockere, der bruger DNS til at udveksle krypteringsn\u00f8gler. Angribe kr\u00e6ver nu en l\u00f8sesum p\u00e5 flere millioner dollars for at genskabe adgangen til dine data. I virksomheden Garmin, for eksempel, betalte de 10 millioner dollars.<\/p>\n

N\u00e5r de er korrekt konfigureret, kan NGFW\u2019er forhindre eller beskytte brugen af DNS-over-TLS (DoT) og kan bruges til at forbyde brugen af DNS-over-HTTPS (DoH), s\u00e5 al DNS-trafik i dit netv\u00e6rk kan analyseres.<\/p>\n

Hvad er krypteret DNS?<\/h2>\n

Hvad er DNS<\/p>\n

Dom\u00e6nenavnesystemet (DNS) konverterer menneskeligt l\u00e6selige dom\u00e6nenavne (f.eks. adressen www.paloaltonetworks.com<\/a><\/noindex> ) til IP-adresser (for eksempel til 34.107.151.202). N\u00e5r en bruger indtaster et dom\u00e6nenavn i en webbrowser, sender browseren en DNS-anmodning til DNS-serveren for at anmode om den IP-adresse, der er knyttet til dette dom\u00e6nenavn. Som svar returnerer DNS-serveren den IP-adresse, som browseren vil bruge.<\/p>\n

DNS-anmodninger og svar overf\u00f8res over nettet i almindelig tekst i ukrypteret format, hvilket g\u00f8r dem s\u00e5rbare over for aflytning eller \u00e6ndring af svaret og omdirigering af browseren til ondsindede servere. Kryptering af DNS g\u00f8r det vanskeligere at spore DNS-anmodninger eller \u00e6ndre dem under transmissionen. Kryptering af DNS-anmodninger og -svar beskytter dig mod Man-in-the-Middle angreb, samtidig med at den udf\u00f8rer de samme funktioner som det traditionelle DNS-protokol (dom\u00e6nenavnesystem) i klartekst. <\/p>\n

I l\u00f8bet af de seneste par \u00e5r er der blevet implementeret to DNS-krypteringsprotokoller:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Disse protokoller har en f\u00e6lles egenskab: de skjuler bevidst DNS-foresp\u00f8rgsler for enhver opsnapning... inklusive organisationens sikkerhedsfunktioner. Protokollerne bruger prim\u00e6rt TLS (Transport Layer Security) til at etablere en krypteret forbindelse mellem klienten, der sender foresp\u00f8rgsler, og serveren, der godkender DNS-foresp\u00f8rgsler gennem en port, der normalt ikke bruges til DNS-trafik.<\/p>\n

    Privatlivets fred for DNS-anmodninger er en stor fordel ved disse protokoller. Dog skaber de problemer for sikkerhedsfolk, der skal overv\u00e5ge netv\u00e6rkstrafik og opdage og blokere ondsindede forbindelser. Da protokollerne adskiller sig i deres implementering, vil analyseteknikkerne variere mellem DoH og DoT.<\/p>\n

    DNS over HTTPS (DoH)<\/h2>\n

    \"MinimeringDNS inden for HTTPS<\/p>\n

    DoH bruger den velkendte port 443 til HTTPS, for hvilken RFC specifikt angiver, at form\u00e5let er at \"blande DoH-trafik med anden HTTPS-trafik i den samme forbindelse\", \"vanskeligg\u00f8re analysen af DNS-trafik\" og s\u00e5ledes omg\u00e5 virksomhedens kontrolforanstaltninger ( RFC 8484 DoH, sektion 8.1<\/a><\/noindex> ). DoH-protokollen bruger TLS-kryptering og syntaks for anmodninger, der leveres af almindelige standarder for HTTPS og HTTP\/2, hvilket tilf\u00f8jer DNS-anmodninger og -svar oven p\u00e5 standard HTTP-anmodninger.<\/p>\n

    Risici forbundet med DoH<\/h2>\n

    Hvis du ikke kan skelne almindelig HTTPS-trafik fra DoH-foresp\u00f8rgsler, kan (og vil) applikationer inden for din organisation omg\u00e5 lokale DNS-indstillinger ved at omdirigere foresp\u00f8rgsler til tredjepartsservere, der svarer p\u00e5 DoH-foresp\u00f8rgsler, hvilket underminerer enhver overv\u00e5gning og dermed \u00f8del\u00e6gger muligheden for kontrol over DNS-trafikken. Ideelt set b\u00f8r du kontrollere DoH ved hj\u00e6lp af HTTPS-dekrypteringsfunktioner. <\/p>\n

    Og Google og Mozilla har implementeret DoH-funktioner<\/a><\/noindex> i den seneste version af deres browsere, og begge virksomheder arbejder p\u00e5 at bruge DoH som standard for alle DNS-foresp\u00f8rgsler. Microsoft udvikler ogs\u00e5 planer<\/a><\/noindex> for at integrere DoH i deres operativsystemer. Ulempen er, at ikke kun respekterede softwareudviklere, men ogs\u00e5 ondsindede akt\u00f8rer har begynt at bruge DoH som et middel til at omg\u00e5 traditionelle virksomhed firewalls. (For eksempel, se f\u00f8lgende artikler: PsiXBot bruger nu Google DoH<\/a><\/noindex> , PsiXBot forts\u00e6tter med at udvikle sig med en opdateret DNS-infrastruktur<\/a><\/noindex> og analyse af backdoor Godlua<\/a><\/noindex> .) Under alle omst\u00e6ndigheder vil b\u00e5de godkendt og ondsindet DoH-trafik forblive uset, hvilket efterlader organisationen blind for ondsindet brug af DoH som en kanal til kontrol af malware (C2) og tyveri af f\u00f8lsomme data.<\/p>\n

    Sikring af synlighed og kontrol over DoH-trafik<\/h2>\n

    Som den bedste l\u00f8sning til kontrol af DoH anbefaler vi, at du konfigurerer HTTPS-dekryptering i NGFW og blokerer DoH-trafik (applikationsnavn: dns-over-https). <\/p>\n

    For det f\u00f8rste, s\u00f8rg for, at NGFW er konfigureret til HTTPS-dekryptering, i henhold til vejledningen til bedste praksis for dekryptering<\/a><\/noindex>.<\/p>\n

    For det andet, opret en regel for applikationstrafikken 'dns-over-https', som vist nedenfor:<\/p>\n

    \"MinimeringPalo Alto Networks NGFW-regel til blokering af DNS-over-HTTPS<\/p>\n

    Som en midlertidig alternativ (hvis din organisation ikke har implementeret HTTPS-dekryptering fuldt ud) kan NGFW konfigureres til at anvende handlingen 'forbyd' p\u00e5 applikationsidentifikatoren 'dns-over-https', men effekten vil v\u00e6re begr\u00e6nset til at blokere specifikke velkendte DoH-servere baseret p\u00e5 deres dom\u00e6nenavn, da DoH-trafik ikke kan verificeres fuldt ud uden HTTPS-dekryptering (se.  Applipedia fra Palo Alto Networks<\/a><\/noindex>   og s\u00f8g efter udtrykket 'dns-over-https').<\/p>\n

    DNS over TLS (DoT)<\/h2>\n

    \"MinimeringDNS inden for TLS<\/p>\n

    Mens DoH-protokollen sigter mod at blande sig med anden trafik p\u00e5 samme port, bruger DoT derimod som standard en s\u00e6rlig port, der er reserveret til dette ene form\u00e5l, og forbyder endda brugen af den samme port til traditionel ukrypteret DNS-trafik ( RFC 7858, afsnit 3.1<\/a><\/noindex> ).<\/p>\n

    DoT-protokollen bruger TLS-protokollen til at sikre kryptering af standard DNS-anmodninger, med trafik, der bruger den velkendte port 853 ( RFC 7858, afsnit 6<\/a><\/noindex> ). Protokollen DoT blev udviklet for at forenkle organisationer i at blokere trafik p\u00e5 porten eller acceptere dens brug, men inkludere dekryptering p\u00e5 denne port.<\/p>\n

    Risici ved DoT<\/h2>\n

    Google implementerede DoT i sin klient Android 9 Pie og senere versioner<\/a><\/noindex> , med standardindstillingen for automatisk brug af DoT, hvis det er tilg\u00e6ngeligt. Hvis du har vurderet risici og er parat til at bruge DoT p\u00e5 organisationsniveau, skal netv\u00e6rksadministratorer eksplicit tillade udg\u00e5ende trafik p\u00e5 port 853 gennem deres perimeter for dette nye protokol.<\/p>\n

    Sikring af synlighed og kontrol over DoT-trafik<\/h2>\n

    Som bedste praksis for kontrol af DoT anbefaler vi noget af det ovenst\u00e5ende, afh\u00e6ngigt af din organisations krav:<\/p>\n