{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/de\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"Minimierung der Risiken der Nutzung von DNS-over-TLS (DoT) und DNS-over-HTTPS (DoH)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MinimierungMinimierung der Risiken bei der Nutzung von DoH und DoT<\/p>\n

Schutz vor DoH und DoT<\/h2>\n

Kontrollieren Sie Ihren DNS-Verkehr? Unternehmen investieren viel Zeit, Geld und M\u00fche in die Sicherheit ihrer Netzwerke. Jedoch wird einer der Bereiche, der h\u00e4ufig vernachl\u00e4ssigt wird, DNS. <\/p>\n

Eine gute \u00dcbersicht \u00fcber die Risiken, die DNS mit sich bringt, ist die Pr\u00e4sentation von Verisign<\/a><\/noindex> auf der Infosecurity-Konferenz. <\/p>\n

\"Minimierung31% der befragten Ransomware-Klassen nutzten DNS zur Schl\u00fcssel\u00fcbertragung. Die Ergebnisse der Studie<\/p>\n

31% der befragten Ransomware-Klassen nutzten DNS zur Schl\u00fcssel\u00fcbertragung.<\/p>\n

Das Problem ist ernst. Laut dem Forscherlabor Palo Alto Networks Unit 42 verwenden etwa 85% der Malware DNS, um einen Command-and-Control-Kanal einzurichten, was Angreifern erm\u00f6glicht, Malware leicht in Ihr Netzwerk einzuf\u00fcgen und Daten zu stehlen. Seit seiner Einf\u00fchrung war der DNS-Verkehr gr\u00f6\u00dftenteils unverschl\u00fcsselt und konnte leicht von NGFW-Schutzmechanismen analysiert werden. <\/p>\n

Es gibt neue Protokolle f\u00fcr DNS, die darauf abzielen, die Vertraulichkeit von DNS-Verbindungen zu verbessern. Sie werden aktiv von f\u00fchrenden Browseranbietern und anderen Softwareanbietern unterst\u00fctzt. Bald wird in Unternehmensnetzwerken ein Anstieg des verschl\u00fcsselten DNS-Verkehrs beginnen. Verschl\u00fcsselter DNS-Verkehr, der nicht ordnungsgem\u00e4\u00df analysiert wird und zul\u00e4ssig ist, stellt eine Sicherheitsbedrohung f\u00fcr das Unternehmen dar. Eine solche Bedrohung sind beispielsweise Krypto-Locker, die DNS f\u00fcr den Austausch von Verschl\u00fcsselungsschl\u00fcsseln nutzen. Angreifer verlangen derzeit L\u00f6segeld in H\u00f6he von mehreren Millionen Dollar f\u00fcr die Wiederherstellung des Zugangs zu Ihren Daten. Zum Beispiel hat das Unternehmen Garmin 10 Millionen Dollar gezahlt.<\/p>\n

Bei richtiger Konfiguration k\u00f6nnen NGFWs die Nutzung von DNS-over-TLS (DoT) blockieren oder sichern und k\u00f6nnen verwendet werden, um die Nutzung von DNS-over-HTTPS (DoH) zu verbieten, wodurch der gesamte DNS-Verkehr in Ihrem Netzwerk analysiert werden kann.<\/p>\n

Was ist verschl\u00fcsseltes DNS?<\/h2>\n

Was ist DNS<\/p>\n

Das Domain Name System (DNS) wandelt menschenlesbare Domainnamen (z.B. die Adresse www.paloaltonetworks.com<\/a><\/noindex> ) in IP-Adressen (zum Beispiel in 34.107.151.202). Wenn ein Benutzer einen Domainnamen in den Webbrowser eingibt, sendet der Browser eine DNS-Anfrage an den DNS-Server und fragt nach der IP-Adresse, die mit diesem Domainnamen verkn\u00fcpft ist. In der Antwort gibt der DNS-Server die IP-Adresse zur\u00fcck, die dieser Browser verwenden wird.<\/p>\n

DNS-Anfragen und -Antworten werden \u00fcber das Netzwerk unverschl\u00fcsselt als Klartext \u00fcbertragen, was sie anf\u00e4llig f\u00fcr Spionage oder \u00c4nderung der Antwort macht und den Browser auf b\u00f6sartige Server umleitet. Die Verschl\u00fcsselung von DNS erschwert das Nachverfolgen von DNS-Anfragen oder deren \u00c4nderung w\u00e4hrend der \u00dcbertragung. Die Verschl\u00fcsselung von DNS-Anfragen und -Antworten sch\u00fctzt Sie vor Man-in-the-Middle-Angriffen, w\u00e4hrend sie dieselben Funktionen wie das traditionelle Protokoll DNS (Domain Name System) im Klartext erf\u00fcllt. <\/p>\n

In den letzten Jahren wurden zwei DNS-Verschl\u00fcsselungsprotokolle eingef\u00fchrt:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Diese Protokolle haben eine gemeinsame Eigenschaft: Sie verstecken absichtlich DNS-Anfragen vor jeglicher Abh\u00f6rung\u2026 einschlie\u00dflich der Sicherheitsbeauftragten der Organisation. Die Protokolle verwenden haupts\u00e4chlich das Protokoll TLS (Transport Layer Security), um eine verschl\u00fcsselte Verbindung zwischen dem anfragenden Client und dem DNS-Server, der die Anfragen aufl\u00f6st, \u00fcber einen Port herzustellen, der normalerweise nicht f\u00fcr DNS-Verkehr verwendet wird.<\/p>\n

    Die Vertraulichkeit der DNS-Anfragen ist ein gro\u00dfer Vorteil dieser Protokolle. Sie schaffen jedoch Probleme f\u00fcr Sicherheitsfachleute, die den Netzwerkverkehr \u00fcberwachen und b\u00f6sartige Verbindungen erkennen und blockieren m\u00fcssen. Da sich die Protokolle in ihrer Implementierung unterscheiden, wird die Analyse bei DoH und DoT unterschiedlich sein.<\/p>\n

    DNS \u00fcber HTTPS (DoH)<\/h2>\n

    \"MinimierungDNS innerhalb von HTTPS<\/p>\n

    DoH verwendet den bekannten Port 443 f\u00fcr HTTPS, f\u00fcr den in der RFC speziell festgelegt ist, dass das Ziel darin besteht, \u201eDoH-Verkehr mit anderen HTTPS-Verkehr in derselben Verbindung zu mischen\u201c, um \u201edie Analyse des DNS-Verkehrs zu erschweren\u201c und damit unternehmensinterne Kontrollma\u00dfnahmen zu umgehen ( RFC 8484 DoH, Abschnitt 8.1<\/a><\/noindex> ). Das DoH-Protokoll verwendet TLS-Verschl\u00fcsselung und den von g\u00e4ngigen Standards f\u00fcr HTTPS und HTTP\/2 bereitgestellten Anfrage-Syntax, die DNS-Anfragen und -Antworten \u00fcber den Standardanfragen von HTTP hinzuf\u00fcgt.<\/p>\n

    Risiken, die mit DoH verbunden sind<\/h2>\n

    Wenn Sie normalen HTTPS-Traffic nicht von DoH-Anfragen unterscheiden k\u00f6nnen, k\u00f6nnen (und werden) Anwendungen innerhalb Ihrer Organisation lokale DNS-Einstellungen umgehen und Anfragen an externe Server umleiten, die DoH-Anfragen beantworten. Dadurch wird jede \u00dcberwachung umgangen, was die M\u00f6glichkeit der Kontrolle \u00fcber den DNS-Traffic beseitigt. Idealerweise sollten Sie DoH \u00fcberwachen, indem Sie HTTPS-Entschl\u00fcsselungsfunktionen verwenden. <\/p>\n

    Und Google und Mozilla haben DoH-Funktionen implementiert<\/a><\/noindex> in der letzten Version ihrer Browser, und beide Unternehmen arbeiten daran, DoH standardm\u00e4\u00dfig f\u00fcr alle DNS-Anfragen zu verwenden. Microsoft entwickelt ebenfalls Pl\u00e4ne<\/a><\/noindex> zur Integration von DoH in seine Betriebssysteme. Ein Nachteil ist, dass nicht nur respektierte Softwareentwickler, sondern auch Angreifer DoH als Mittel nutzen, um traditionelle Ma\u00dfnahmen von Unternehmensfirewalls zu umgehen. (Siehe beispielsweise die folgenden Artikel: PsiXBot verwendet jetzt Google DoH<\/a><\/noindex> , PsiXBot entwickelt sich mit einer aktualisierten DNS-Infrastruktur weiter<\/a><\/noindex> und eine Analyse des Godlua-Hintert\u00fcr<\/a><\/noindex> .) In jedem Fall bleibt sowohl guter als auch sch\u00e4dlicher DoH-Traffic unbemerkt, wodurch die Organisation blind f\u00fcr den b\u00f6swilligen Einsatz von DoH als Kanal f\u00fcr die Steuerung von Malware (C2) und den Diebstahl vertraulicher Daten wird.<\/p>\n

    Sichtbarkeit und Kontrolle des DoH-Traffics sicherstellen<\/h2>\n

    Als beste L\u00f6sung zur Kontrolle von DoH empfehlen wir, das NGFW so einzurichten, dass der HTTPS-Traffic entschl\u00fcsselt und DoH-Traffic blockiert wird (Anwendungsname: dns-over-https). <\/p>\n

    Stellen Sie zun\u00e4chst sicher, dass das NGFW f\u00fcr die Entschl\u00fcsselung von HTTPS konfiguriert ist, gem\u00e4\u00df den Best Practices zur Entschl\u00fcsselung<\/a><\/noindex>.<\/p>\n

    Zweitens, erstellen Sie eine Regel f\u00fcr den Traffic der Anwendung \"dns-over-https\", wie unten gezeigt:<\/p>\n

    \"MinimierungRegel f\u00fcr Palo Alto Networks NGFW zur Blockierung von DNS-over-HTTPS<\/p>\n

    Als Zwischenalternative (falls Ihre Organisation HTTPS-Entschl\u00fcsselung noch nicht vollst\u00e4ndig umgesetzt hat) kann das NGFW so konfiguriert werden, dass es die Aktion \"verhindern\" auf die Anwendungs-ID \"dns-over-https\" anwendet. Der Effekt wird jedoch auf die Blockierung einiger bekannter DoH-Server anhand ihres Domainnamens beschr\u00e4nkt, da ohne die Entschl\u00fcsselung von HTTPS der DoH-Traffic nicht vollst\u00e4ndig \u00fcberpr\u00fcft werden kann (siehe  Applipedia von Palo Alto Networks<\/a><\/noindex>   und suchen Sie nach dem Begriff \"dns-over-https\").<\/p>\n

    DNS \u00fcber TLS (DoT)<\/h2>\n

    \"MinimierungDNS innerhalb von TLS<\/p>\n

    W\u00e4hrend das DoH-Protokoll versucht, sich mit anderem Verkehr auf demselben Port zu vermischen, verwendet DoT stattdessen standardm\u00e4\u00dfig einen speziellen Port, der f\u00fcr diesen einzigen Zweck reserviert ist, und verbietet ausdr\u00fccklich die Nutzung desselben Ports f\u00fcr traditionellen unverschl\u00fcsselten DNS-Verkehr ( RFC 7858, Abschnitt 3.1<\/a><\/noindex> ).<\/p>\n

    Das DoT-Protokoll verwendet das TLS-Protokoll, um die Verschl\u00fcsselung standardm\u00e4\u00dfiger DNS-Protokollanfragen zu kapseln, wobei der Verkehr den gut bekannten Port 853 nutzt ( RFC 7858, Abschnitt 6<\/a><\/noindex> ).  Das Protokoll DoT wurde entwickelt, um es Organisationen zu erleichtern, den Verkehr \u00fcber den Port entweder zu blockieren oder dessen Nutzung zu genehmigen, jedoch die Entschl\u00fcsselung \u00fcber diesen Port einzuschalten.<\/p>\n

    Risiken im Zusammenhang mit DoT<\/h2>\n

    Google hat DoT in seinem Client Android 9 Pie und sp\u00e4teren Versionen<\/a><\/noindex> , wobei standardm\u00e4\u00dfig die automatische Nutzung von DoT aktiviert ist, wenn es verf\u00fcgbar ist. Wenn Sie die Risiken abgewogen haben und bereit sind, DoT auf Organisationsebene zu verwenden, m\u00fcssen Netzwerkadministratoren ausgehenden Verkehr auf Port 853 \u00fcber ihre Perimeter f\u00fcr dieses neue Protokoll ausdr\u00fccklich zulassen.<\/p>\n

    Sichtbarkeit und Kontrolle von DoT-Verkehr sicherstellen<\/h2>\n

    Als beste Vorgehensweise zur Kontrolle von DoT empfehlen wir jede der oben genannten Optionen, basierend auf den Anforderungen Ihrer Organisation:<\/p>\n