Risikominimierung bei der Verwendung von DoH und DoT
Schutz vor DoH und DoT
Überwachen Sie Ihren DNS-Verkehr? Organisationen investieren viel Zeit, Geld und Mühe in die Sicherung ihrer Netzwerke. Eine häufig vernachlässigte Gefahr ist jedoch der DNS.
Eine gute Übersicht über die Risiken, die der DNS mit sich bringt, ist auf der Infosecurity-Konferenz.
31 % der befragten Ransomware-Klassen nutzen DNS für den Schlüsselaustausch. Die Ergebnisse der Studie
31 % der befragten Ransomware-Klassen nutzen DNS für den Schlüsselaustausch.
Das Problem ist ernst. Laut der Forschungsstelle Palo Alto Networks Unit 42 verwenden etwa 85 % der Malware DNS, um einen Steuerungs- und Kontrollkanal aufzubauen, was es Angreifern ermöglicht, Malware leicht in Ihr Netzwerk einzuschleusen und Daten zu stehlen. Seit seiner Einführung war der DNS-Verkehr hauptsächlich unverschlüsselt und konnte von NGFW-Schutzmaßnahmen leicht analysiert werden.
Es wurden neue Protokolle für DNS eingeführt, die darauf abzielen, die Privatsphäre von DNS-Verbindungen zu erhöhen. Diese werden aktiv von führenden Browseranbietern und anderen Softwareanbietern unterstützt. Bald wird in Unternehmensnetzwerken ein Anstieg des verschlüsselten DNS-Verkehrs erwartet. Verschlüsselter DNS-Verkehr, der nicht ordnungsgemäß analysiert wird und erlaubt ist, stellt eine Sicherheitsbedrohung für Unternehmen dar. Eine solche Bedrohung sind Krypto-Locker, die DNS zum Austausch von Verschlüsselungsschlüsseln nutzen. Angreifer fordern derzeit Lösegelder in Höhe von mehreren Millionen Dollar für die Wiederherstellung des Zugangs zu Ihren Daten. So zahlte beispielsweise das Unternehmen Garmin 10 Millionen Dollar.
Bei richtiger Konfiguration können NGFWs die Nutzung von DNS-over-TLS (DoT) verbieten oder schützen und können auch verwendet werden, um die Verwendung von DNS-over-HTTPS (DoH) zu unterbinden, was es ermöglicht, den gesamten DNS-Verkehr in Ihrem Netzwerk zu analysieren.
Was ist verschlüsseltes DNS?
Was ist DNS
Das Domain Name System (DNS) wandelt menschenlesbare Domainnamen (zum Beispiel die Adresse ) zu IP-Adressen (zum Beispiel 34.107.151.202). Wenn ein Benutzer einen Domainnamen in den Webbrowser eingibt, sendet der Browser eine DNS-Anfrage an einen DNS-Server, um die mit diesem Domainnamen verbundene IP-Adresse abzufragen. Als Antwort gibt der DNS-Server die IP-Adresse zurück, die dieser Browser verwenden wird.
DNS-Anfragen und -Antworten werden unverschlüsselt als Klartext über das Netzwerk übertragen, was sie anfällig für Spionage oder Manipulation des Responses und die Umleitung des Browsers zu bösartigen Servern macht. Die Verschlüsselung von DNS erschwert die Nachverfolgung oder Veränderung von DNS-Anfragen während der Übertragung. Die Verschlüsselung von DNS-Anfragen und -Antworten schützt Sie vor Man-in-the-Middle-Angriffen und erfüllt gleichzeitig die gleichen Funktionen wie das traditionelle, unverschlüsselte DNS-Protokoll (Domain Name System).
In den letzten Jahren wurden zwei DNS-Verschlüsselungsprotokolle eingeführt:
DNS-over-HTTPS (DoH)
DNS-over-TLS (DoT)
Diese Protokolle haben eine gemeinsame Eigenschaft: Sie verbergen absichtlich DNS-Anfragen vor jeder Art der Abhörung, einschließlich der Sicherheitsverantwortlichen innerhalb der Organisation. Die Protokolle nutzen hauptsächlich das TLS-Protokoll (Transport Layer Security), um eine verschlüsselte Verbindung zwischen dem Client, der die Anfragen stellt, und dem Server, der die DNS-Anfragen bearbeitet, über einen Port herzustellen, der normalerweise nicht für DNS-Traffic verwendet wird.
Die Privatsphäre der DNS-Anfragen ist ein großer Vorteil dieser Protokolle. Sie stellen jedoch ein Problem für Sicherheitsverantwortliche dar, die den Netzwerkverkehr überwachen und schädliche Verbindungen erkennen und blockieren müssen. Da sich die Protokolle in ihrer Implementierung unterscheiden, werden auch die Analysemethoden bei DoH und DoT variieren.
DNS über HTTPS (DoH)
DNS innerhalb von HTTPS
DoH verwendet den bekannten Port 443 für HTTPS, für den im RFC ausdrücklich festgelegt ist, dass die Aufgabe darin besteht, den DoH-Traffic mit anderem HTTPS-Traffic im selben Verbindung zu vermischen, um die Analyse von DNS-Traffic zu erschweren und somit Maßnahmen zur Unternehmensüberwachung zu umgehen ( ). Das DoH-Protokoll verwendet TLS-Verschlüsselung und die von den allgemeinen Standards HTTPS und HTTP/2 bereitgestellten Anfrage-Syntax, und fügt DNS-Anfragen und -Antworten über die Standard-HTTP-Anfragen hinzu.
Risiken im Zusammenhang mit DoH
Wenn Sie normalen HTTPS-Verkehr nicht von DoH-Anfragen unterscheiden können, besteht die Gefahr, dass Anwendungen in Ihrer Organisation lokale DNS-Einstellungen umgehen, indem sie Anfragen an externe Server weiterleiten, die auf DoH-Anfragen reagieren. Dies umgeht jegliche Überwachung und beseitigt die Möglichkeit der Kontrolle über den DNS-Verkehr. Idealerweise sollten Sie DoH überwachen, indem Sie HTTPS-Durchbruchfunktionen nutzen.
Und in der neuesten Version ihrer Browser implementiert, und beide Unternehmen arbeiten daran, DoH standardmäßig für alle DNS-Anfragen zu verwenden. zur Integration von DoH in seine Betriebssysteme. Ein Nachteil ist, dass nicht nur angesehene Softwareentwickler, sondern auch Angreifer DoH als ein Mittel nutzen, um traditionelle Unternehmensfirewall-Maßnahmen zu umgehen. (Zum Beispiel, lesen Sie die folgenden Artikel: , und .) In jedem Fall bleibt sowohl guter als auch schädlicher DoH-Verkehr unbemerkt, was die Organisation blind für den schädlichen Einsatz von DoH als Kanal für Malware-Steuerung (C2) und den Diebstahl vertraulicher Daten macht.
Sichtbarkeit und Kontrolle des DoH-Verkehrs sicherstellen
Als beste Lösung zur Kontrolle von DoH empfehlen wir, in der NGFW die HTTPS-Verkehrsentschlüsselung und die Blockierung von DoH-Verkehr (Anwendungsname: dns-over-https) einzurichten.
Stellen Sie zunächst sicher, dass die NGFW für die Entschlüsselung von HTTPS gemäß .
Zweitens erstellen Sie eine Regel für den Verkehr der Anwendung „dns-over-https“, wie unten dargestellt:
Regel für Palo Alto Networks NGFW zur Blockierung von DNS-over-HTTPS
Als Zwischenalternative (wenn Ihre Organisation die HTTPS-Dekodierung nicht vollständig implementiert hat), kann NGFW so konfiguriert werden, dass es die Aktion „verweigern“ für die Anwendungs-ID „dns-over-https“ anwendet. Die Wirkung wird jedoch durch die Blockierung bestimmter bekannter DoH-Server nach ihrem Domainnamen eingeschränkt, da ohne die Dekodierung von HTTPS der DoH-Verkehr nicht vollständig überprüft werden kann (siehe und suchen Sie nach dem Begriff „dns-over-https“).
DNS über TLS (DoT)
DNS innerhalb von TLS
Während das DoH-Protokoll darauf abzielt, sich mit anderem Verkehr am gleichen Port zu vermischen, verwendet DoT standardmäßig einen speziellen Port, der für diesen einzigen Zweck reserviert ist, und verbietet ausdrücklich die Verwendung desselben Ports für traditionellen unverschlüsselten DNS-Verkehr ( ).
Das DoT-Protokoll verwendet das TLS-Protokoll, um die Verschlüsselung zu gewährleisten, die Standard DNS-Anfragen kapselt und dabei den gut bekannten Port 853 nutzt ( ). Das DoT-Protokoll wurde entwickelt, um es Organisationen zu erleichtern, den Datenverkehr über den Port zu blockieren oder dessen Nutzung zuzulassen, jedoch die Entschlüsselung über diesen Port zu aktivieren.
Risiken im Zusammenhang mit DoT
Google hat DoT in seinem Client implementiert , wobei die automatische Nutzung von DoT standardmäßig aktiviert ist, sofern verfügbar. Wenn Sie die Risiken eingeschätzt haben und bereit sind, DoT auf Organisationsebene zu verwenden, müssen Netzwerkadministratoren den ausgehenden Datenverkehr über den Port 853 durch ihre Perimeter für dieses neue Protokoll ausdrücklich ermöglichen.
Sichtbarkeit und Kontrolle des DoT-Datenverkehrs sicherstellen
Als beste Methode zur Kontrolle von DoT empfehlen wir eine der folgenden Optionen, je nach den Anforderungen Ihrer Organisation:
Konfigurieren Sie die NGFW zur Entschlüsselung des gesamten Datenverkehrs für den Zielport 853. Durch die Entschlüsselung des Datenverkehrs wird DoT als DNS-Anwendung angezeigt, auf die Sie jede erforderliche Maßnahme anwenden können, z. B. ein Abonnement aktivieren. zur Kontrolle von DGA-Domains oder bereits bestehendem und Anti-Spyware.
Alternativ können Sie den Verkehr von 'dns-over-tls' über Port 853 vollständig mit der App-ID-Funktion blockieren. Dieser ist normalerweise standardmäßig blockiert, sodass keine Maßnahmen erforderlich sind (es sei denn, Sie haben die Anwendung 'dns-over-tls' oder den Verkehr über Port 853 ausdrücklich zugelassen).
Quelle: habr.com
