{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"Minimierung der Risiken bei der Verwendung von DNS-over-TLS (DoT) und DNS-over-HTTPS (DoH)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MinimierungRisikominimierung bei der Verwendung von DoH und DoT<\/p>\n

Schutz vor DoH und DoT<\/h2>\n

\u00dcberwachen Sie Ihren DNS-Verkehr? Organisationen investieren viel Zeit, Geld und M\u00fche in die Sicherung ihrer Netzwerke. Eine h\u00e4ufig vernachl\u00e4ssigte Gefahr ist jedoch der DNS. <\/p>\n

Eine gute \u00dcbersicht \u00fcber die Risiken, die der DNS mit sich bringt, ist die Pr\u00e4sentation von Verisign<\/a><\/noindex> auf der Infosecurity-Konferenz. <\/p>\n

\"Minimierung31 % der befragten Ransomware-Klassen nutzen DNS f\u00fcr den Schl\u00fcsselaustausch. Die Ergebnisse der Studie<\/p>\n

31 % der befragten Ransomware-Klassen nutzen DNS f\u00fcr den Schl\u00fcsselaustausch.<\/p>\n

Das Problem ist ernst. Laut der Forschungsstelle Palo Alto Networks Unit 42 verwenden etwa 85 % der Malware DNS, um einen Steuerungs- und Kontrollkanal aufzubauen, was es Angreifern erm\u00f6glicht, Malware leicht in Ihr Netzwerk einzuschleusen und Daten zu stehlen. Seit seiner Einf\u00fchrung war der DNS-Verkehr haupts\u00e4chlich unverschl\u00fcsselt und konnte von NGFW-Schutzma\u00dfnahmen leicht analysiert werden. <\/p>\n

\u041f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u043d\u043e\u0432\u044b\u0435 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u0434\u043b\u044f DNS, \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u043d\u0430 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 DNS \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439. \u041e\u043d\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0432\u0435\u0434\u0443\u0449\u0438\u043c\u0438 \u043f\u043e\u0441\u0442\u0430\u0432\u0449\u0438\u043a\u0430\u043c\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u0438 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u043e\u0441\u0442\u0430\u0432\u0449\u0438\u043a\u0430\u043c\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u043a\u043e\u0440\u043e \u0432 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0445 \u0441\u0435\u0442\u044f\u0445 \u043d\u0430\u0447\u043d\u0435\u0442\u0441\u044f \u0440\u043e\u0441\u0442 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e DNS-\u0442\u0440\u0430\u0444\u0438\u043a\u0430. \u0417\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a DNS, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430\u043c\u0438 \u0434\u043e\u043b\u0436\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0438 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d, \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0443\u0433\u0440\u043e\u0437\u0443 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0434\u043b\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0442\u0430\u043a\u043e\u0439 \u0443\u0433\u0440\u043e\u0437\u043e\u0439 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043a\u0440\u0438\u043f\u0442\u043e\u043b\u043e\u043a\u0435\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 DNS \u0434\u043b\u044f \u043e\u0431\u043c\u0435\u043d\u0430 \u043a\u043b\u044e\u0447\u0430\u043c\u0438 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f. \u0410\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0435 \u0441\u0435\u0439\u0447\u0430\u0441 \u0442\u0440\u0435\u0431\u0443\u044e\u0442 \u0432\u044b\u043a\u0443\u043f \u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043c\u0438\u043b\u043b\u0438\u043e\u043d\u043e\u0432 \u0434\u043e\u043b\u043b\u0430\u0440\u043e\u0432 \u0437\u0430 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0432\u0430\u0448\u0438\u043c \u0434\u0430\u043d\u043d\u044b\u043c. \u0412 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Garmin, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0437\u0430\u043f\u043b\u0430\u0442\u0438\u043b\u0438 10 \u043c\u0438\u043b\u043b\u0438\u043e\u043d\u043e\u0432 \u0434\u043e\u043b\u043b\u0430\u0440\u043e\u0432.<\/p>\n

Bei richtiger Konfiguration k\u00f6nnen NGFWs die Nutzung von DNS-over-TLS (DoT) verbieten oder sch\u00fctzen und k\u00f6nnen auch verwendet werden, um die Verwendung von DNS-over-HTTPS (DoH) zu unterbinden, was es erm\u00f6glicht, den gesamten DNS-Verkehr in Ihrem Netzwerk zu analysieren.<\/p>\n

Was ist verschl\u00fcsseltes DNS?<\/h2>\n

Was ist DNS<\/p>\n

Das Domain Name System (DNS) wandelt menschenlesbare Domainnamen (zum Beispiel die Adresse www.paloaltonetworks.com<\/a><\/noindex> ) zu IP-Adressen (zum Beispiel 34.107.151.202). Wenn ein Benutzer einen Domainnamen in den Webbrowser eingibt, sendet der Browser eine DNS-Anfrage an einen DNS-Server, um die mit diesem Domainnamen verbundene IP-Adresse abzufragen. Als Antwort gibt der DNS-Server die IP-Adresse zur\u00fcck, die dieser Browser verwenden wird.<\/p>\n

DNS-Anfragen und -Antworten werden unverschl\u00fcsselt als Klartext \u00fcber das Netzwerk \u00fcbertragen, was sie anf\u00e4llig f\u00fcr Spionage oder Manipulation des Responses und die Umleitung des Browsers zu b\u00f6sartigen Servern macht. Die Verschl\u00fcsselung von DNS erschwert die Nachverfolgung oder Ver\u00e4nderung von DNS-Anfragen w\u00e4hrend der \u00dcbertragung. Die Verschl\u00fcsselung von DNS-Anfragen und -Antworten sch\u00fctzt Sie vor Man-in-the-Middle-Angriffen und erf\u00fcllt gleichzeitig die gleichen Funktionen wie das traditionelle, unverschl\u00fcsselte DNS-Protokoll (Domain Name System). <\/p>\n

In den letzten Jahren wurden zwei DNS-Verschl\u00fcsselungsprotokolle eingef\u00fchrt:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    \u042d\u0442\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u0438\u043c\u0435\u044e\u0442 \u043e\u0434\u043d\u0443 \u043e\u0431\u0449\u0443\u044e \u0447\u0435\u0440\u0442\u0443: \u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u043e \u043f\u0440\u044f\u0447\u0443\u0442 DNS-\u0437\u0430\u043f\u0440\u043e\u0441\u044b \u043e\u0442 \u043b\u044e\u0431\u043e\u0433\u043e \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0430… \u0438 \u043e\u0442 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u043e\u0432 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435. \u041f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b TLS (Transport Layer Security) \u0434\u043b\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u043c\u0435\u0436\u0434\u0443 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u043c, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0449\u0438\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u044b, \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c, \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u044e\u0449\u0438\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u044b DNS, \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0440\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044b\u0447\u043d\u043e \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f \u0442\u0440\u0430\u0444\u0438\u043a\u0430 DNS.<\/p>\n

    Die Privatsph\u00e4re der DNS-Anfragen ist ein gro\u00dfer Vorteil dieser Protokolle. Sie stellen jedoch ein Problem f\u00fcr Sicherheitsverantwortliche dar, die den Netzwerkverkehr \u00fcberwachen und sch\u00e4dliche Verbindungen erkennen und blockieren m\u00fcssen. Da sich die Protokolle in ihrer Implementierung unterscheiden, werden auch die Analysemethoden bei DoH und DoT variieren.<\/p>\n

    DNS \u00fcber HTTPS (DoH)<\/h2>\n

    \"MinimierungDNS innerhalb von HTTPS<\/p>\n

    DoH verwendet den bekannten Port 443 f\u00fcr HTTPS, f\u00fcr den im RFC ausdr\u00fccklich festgelegt ist, dass die Aufgabe darin besteht, den DoH-Traffic mit anderem HTTPS-Traffic im selben Verbindung zu vermischen, um die Analyse von DNS-Traffic zu erschweren und somit Ma\u00dfnahmen zur Unternehmens\u00fcberwachung zu umgehen ( RFC 8484 DoH, Abschnitt 8.1<\/a><\/noindex> ). Das DoH-Protokoll verwendet TLS-Verschl\u00fcsselung und die von den allgemeinen Standards HTTPS und HTTP\/2 bereitgestellten Anfrage-Syntax, und f\u00fcgt DNS-Anfragen und -Antworten \u00fcber die Standard-HTTP-Anfragen hinzu.<\/p>\n

    Risiken im Zusammenhang mit DoH<\/h2>\n

    Wenn Sie normalen HTTPS-Verkehr nicht von DoH-Anfragen unterscheiden k\u00f6nnen, besteht die Gefahr, dass Anwendungen in Ihrer Organisation lokale DNS-Einstellungen umgehen, indem sie Anfragen an externe Server weiterleiten, die auf DoH-Anfragen reagieren. Dies umgeht jegliche \u00dcberwachung und beseitigt die M\u00f6glichkeit der Kontrolle \u00fcber den DNS-Verkehr. Idealerweise sollten Sie DoH \u00fcberwachen, indem Sie HTTPS-Durchbruchfunktionen nutzen. <\/p>\n

    Und Google und Mozilla haben die DoH-Funktionen<\/a><\/noindex> in der neuesten Version ihrer Browser implementiert, und beide Unternehmen arbeiten daran, DoH standardm\u00e4\u00dfig f\u00fcr alle DNS-Anfragen zu verwenden. Microsoft entwickelt ebenfalls Pl\u00e4ne<\/a><\/noindex> zur Integration von DoH in seine Betriebssysteme. Ein Nachteil ist, dass nicht nur angesehene Softwareentwickler, sondern auch Angreifer DoH als ein Mittel nutzen, um traditionelle Unternehmensfirewall-Ma\u00dfnahmen zu umgehen. (Zum Beispiel, lesen Sie die folgenden Artikel: PsiXBot nutzt jetzt Google DoH<\/a><\/noindex> , PsiXBot entwickelt sich mit einer aktualisierten DNS-Infrastruktur weiter<\/a><\/noindex> und Analyse des Godlua-Hintert\u00fcrs<\/a><\/noindex> .) In jedem Fall bleibt sowohl guter als auch sch\u00e4dlicher DoH-Verkehr unbemerkt, was die Organisation blind f\u00fcr den sch\u00e4dlichen Einsatz von DoH als Kanal f\u00fcr Malware-Steuerung (C2) und den Diebstahl vertraulicher Daten macht.<\/p>\n

    Sichtbarkeit und Kontrolle des DoH-Verkehrs sicherstellen<\/h2>\n

    Als beste L\u00f6sung zur Kontrolle von DoH empfehlen wir, in der NGFW die HTTPS-Verkehrsentschl\u00fcsselung und die Blockierung von DoH-Verkehr (Anwendungsname: dns-over-https) einzurichten. <\/p>\n

    Stellen Sie zun\u00e4chst sicher, dass die NGFW f\u00fcr die Entschl\u00fcsselung von HTTPS gem\u00e4\u00df Leitfaden zu Best Practices zur Entschl\u00fcsselung eingerichtet ist<\/a><\/noindex>.<\/p>\n

    Zweitens erstellen Sie eine Regel f\u00fcr den Verkehr der Anwendung \u201edns-over-https\u201c, wie unten dargestellt:<\/p>\n

    \"MinimierungRegel f\u00fcr Palo Alto Networks NGFW zur Blockierung von DNS-over-HTTPS<\/p>\n

    Als Zwischenalternative (wenn Ihre Organisation die HTTPS-Dekodierung nicht vollst\u00e4ndig implementiert hat), kann NGFW so konfiguriert werden, dass es die Aktion \u201everweigern\u201c f\u00fcr die Anwendungs-ID \u201edns-over-https\u201c anwendet. Die Wirkung wird jedoch durch die Blockierung bestimmter bekannter DoH-Server nach ihrem Domainnamen eingeschr\u00e4nkt, da ohne die Dekodierung von HTTPS der DoH-Verkehr nicht vollst\u00e4ndig \u00fcberpr\u00fcft werden kann (siehe  Applipedia von Palo Alto Networks<\/a><\/noindex>   und suchen Sie nach dem Begriff \u201edns-over-https\u201c).<\/p>\n

    DNS \u00fcber TLS (DoT)<\/h2>\n

    \"MinimierungDNS innerhalb von TLS<\/p>\n

    W\u00e4hrend das DoH-Protokoll darauf abzielt, sich mit anderem Verkehr am gleichen Port zu vermischen, verwendet DoT standardm\u00e4\u00dfig einen speziellen Port, der f\u00fcr diesen einzigen Zweck reserviert ist, und verbietet ausdr\u00fccklich die Verwendung desselben Ports f\u00fcr traditionellen unverschl\u00fcsselten DNS-Verkehr ( RFC 7858, Abschnitt 3.1<\/a><\/noindex> ).<\/p>\n

    Das DoT-Protokoll verwendet das TLS-Protokoll, um die Verschl\u00fcsselung zu gew\u00e4hrleisten, die Standard DNS-Anfragen kapselt und dabei den gut bekannten Port 853 nutzt ( RFC 7858, Abschnitt 6<\/a><\/noindex> ).  \u041f\u0440\u043e\u0442\u043e\u043a\u043e\u043b DoT \u0431\u044b\u043b \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043d, \u0447\u0442\u043e\u0431\u044b \u0443\u043f\u0440\u043e\u0441\u0442\u0438\u0442\u044c \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044f\u043c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u043f\u043e \u043f\u043e\u0440\u0442\u0443, \u043b\u0438\u0431\u043e \u0441\u043e\u0433\u043b\u0430\u0448\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435, \u043d\u043e \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u043d\u0430 \u044d\u0442\u043e\u043c \u043f\u043e\u0440\u0442\u0443.<\/p>\n

    Risiken im Zusammenhang mit DoT<\/h2>\n

    Google hat DoT in seinem Client implementiert in Android 9 Pie und sp\u00e4teren Versionen<\/a><\/noindex> , wobei die automatische Nutzung von DoT standardm\u00e4\u00dfig aktiviert ist, sofern verf\u00fcgbar. Wenn Sie die Risiken eingesch\u00e4tzt haben und bereit sind, DoT auf Organisationsebene zu verwenden, m\u00fcssen Netzwerkadministratoren den ausgehenden Datenverkehr \u00fcber den Port 853 durch ihre Perimeter f\u00fcr dieses neue Protokoll ausdr\u00fccklich erm\u00f6glichen.<\/p>\n

    Sichtbarkeit und Kontrolle des DoT-Datenverkehrs sicherstellen<\/h2>\n

    Als beste Methode zur Kontrolle von DoT empfehlen wir eine der folgenden Optionen, je nach den Anforderungen Ihrer Organisation:<\/p>\n