🥇DNS-over-TLS (DoT) ja DNS-over-HTTPS (DoH) riskide vähendamine

DoH ja DoT kasutamise riskide vähendamine

Kaitse DoH ja DoT eest

Kas te kontrollite oma DNS-i liiklust? Organisatsioonid investeerivad palju aega, raha ja ressursse oma võrkude turvalisusse. Kuid üks valdkond, millele sageli piisavalt tähelepanu ei pöörata, on DNS.

Hea ülevaate DNS-i riskidest annab Verisign'i esitlus Infosecurity konverentsil.

31% uuritud lunavarade klassidest kasutas DNS-i võtmete vahetamiseks. Uuringu järeldused

31% uuritud lunavarade klassidest kasutas DNS-i võtmete vahetamiseks.

Probleem on tõsine. Palo Alto Networks Unit 42 uurimislabori andmetel kasutab ligikaudu 85% pahavara DNS-i juhtimise ja kontrollimise kanali loomiseks, võimaldades kurjategijatel kergesti pahavara teie võrku siseneda ning andmeid varastada. Alates oma loomisest on DNS-i liiklus enamasti olnud krüpteerimata ja seda on kergesti analüüsitud NGFW kaitsemeetmete abil.

Ilmunud on uued DNS-i protokollid, mis on suunatud DNS-i ühenduste privaatsuse tõstmisele. Nendega toetavad aktiivselt juhtivad brauserite teenusepakkujad ja teised tarkvara teenusepakkujad. Varsti hakkab ettevõtete võrkudes kasvama krüpteeritud DNS-i liiklus. Krüpteeritud DNS-i liiklus, mida ei analüüsita korralikult ja mis on lubatud, esitab ettevõtetele turvaprobleeme. Näiteks selline oht on krüptoründajad, kes kasutavad DNS-i võtmete vahetamiseks. Ründajad nõuavad nüüd teie andmete juurde pääsemise taastamise eest mitme miljoni dollari suurust lunastust. Näiteks ettevõte Garmin maksis 10 miljonit dollarit.

Õige seadistusega NGFW-d võivad keelata või kaitsta DNS-over-TLS (DoT) kasutamist ning neid saab kasutada DNS-over-HTTPS (DoH) kasutamise keeldumiseks, võimaldades analüüsida kogu teie võrgu DNS-i liiklust.

Mis on krüpteeritud DNS?

Mis on DNS

Domeenide nimetuste süsteem (DNS) muudab inimeste jaoks loetavad domeeninimed (nt aadress www.paloaltonetworks.com ) IP-aadresside (näiteks 34.107.151.202) määramine. Kui kasutaja sisestab domeeninime veebibrauserisse, saadab brauser DNS-päringu DNS-serverile, paludes selle domeeninimega seotud IP-aadressi. Vastuseks tagastab DNS-server IP-aadressi, mida brauser kasutab.

DNS-päringud ja -vastused edastatakse võrgu kaudu lihttekstina ja krüpteerimata, mis muudab need spionaaži või vastuse muutmise ja brauseri suunamise jaoks pahatahtlikele serveritele haavatavaks. DNS-i krüpteerimine raskendab DNS-päringute jälgimist või nende muutmist edastamise ajal. DNS-i päringute ja vastuste krüpteerimine kaitseb teid Man-in-the-Middle rünnakute eest, täites samal ajal samu funktsioone, mis traditsioonilisem DNS-protokoll (domeeninime süsteem) selges tekstis.

Viimastel aastatel on rakendatud kahte DNS-i krüpteerimise protokolli:

DNS-over-HTTPS (DoH)
DNS-over-TLS (DoT)

Nendel protokollidel on üks ühine joon: nad peidavad tahtlikult DNS-päringud igasuguste jälgimise eest… sealhulgas organisatsiooni turvatöötajate eest. Protokollid kasutavad peamiselt TLS-i (Transport Layer Security) protokolli, et luua krüpteeritud ühendus kliendi ja DNS-päringute lahendava serveri vahel sadamast, mida tavaliselt ei kasutata DNS-i liikluseks.

DNS-päringute privaatsus on nende protokollide suur pluss. Kuid need tekitavad probleeme turvatöötajatele, kes peavad jälgima võrgu liiklust ja tuvastama ning blokeerima pahatahtlikke ühendusi. Kuna protokollid erinevad oma rakenduse poolest, erinevad ka analüüsimeetodid DoH ja DoT puhul.

DNS over HTTPS (DoH)

DNS HTTPS-i kaudu

DoH kasutab hästi tuntud porti 443 HTTPS-i jaoks, mille jaoks on RFC-s konkreetselt määratud, et eesmärk on "segada DoH liiklus koos muu HTTPS-i liiklusega samas ühenduses", "raske DNS-i liikluse analüüsimine" ja seeläbi ületada ettevõtte kontrollimeetmeid ( RFC 8484 DoH, jaotis 8.1 ). Protokoll DoH kasutab TLS-i krüpteerimist ja päringusüntaksit, mille pakuvad tavalised HTTPS-i ja HTTP/2 standardid, lisades DNS-päringud ja -vastused standardsete HTTP-päringute peale.

DoH-iga seotud riskid

Kui te ei suuda tavapärast HTTPS-i liiklust DoH päringutest eristada, siis võivad teie organisatsioonis olevad rakendused (ja nad seda kindlasti teevad) mööda minna lokaalsetest DNS-seadetest, suunates päringud kolmandate osapoolte serveritele, mis vastavad DoH päringutele, mis takistab igasugust jälgimist ja seega hävitab kontrolli DNS-liikluse üle. Ideaalis peaksite kontrollima DoH-i, kasutades HTTPS-i dekodeerimise funktsioone.

ma saan kasutada Google ja Mozilla on rakendanud DoH-i võimalusi oma brauserite viimases versioonis ning mõlemad ettevõtted töötavad selle nimel, et DoH oleks vaikimisi kasutusel kõigi DNS-päringute jaoks. Microsoft arendab samuti plaane DoH-i integreerimiseks oma operatsioonisüsteemidesse. Miinus on see, et mitte ainult austatud tarkvaraarendajad, vaid ka kurjategijad on hakanud DoH-i kasutama traditsiooniliste ettevõtte tulemüürimeetmete ületamiseks. (Näiteks vaadake järgmisi artikleid: PsiXBot kasutab nüüd Google DoH-i , PsiXBot jätkab oma DNS-i infrastruktuuri arendamist ja Godlua tagauksi analüüs .) Igal juhul jääb nii hea kui kahjulik DoH-i liiklus märkamata, jättes organisatsiooni pimedaks pahatahtliku DoH-i kasutamise osas pahavara juhtimiseks (C2) ja konfidentsiaalsete andmete varguseks.

DoH-i liikluse nähtavuse ja kontrolli tagamine

Parimaks lahenduseks DoH-i kontrollimiseks soovitame seadistada NGFW-s HTTPS-i liikluse dekodeerimine ja DoH-i liikluse blokeerimine (rakenduse nimi: dns-over-https).

Esiteks veenduge, et NGFW on seadistatud HTTPS-i dekodeerimiseks vastavalt parimate dekodeerimise praktikate juhendile.

Teiseks looge reegel rakenduse "dns-over-https" liiklusele, nagu on näidatud allpool:

Palo Alto Networks NGFW reegel DNS-over-HTTPS-i blokeerimiseks

Vahealternatiivina (kui teie organisatsioon ei ole täielikult rakendanud HTTPS-i dekodeerimist) saab NGFW seadistada rakenduse identifikaatorile "dns-over-https" keelu rakendamiseks, kuid mõju jääb piiratuks teatud tuntud DoH-serverite blokeerimisega nende domeeninime kaudu, kuna ilma HTTPS-i dekodeerimiseta ei saa DoH-i liiklust täielikult kontrollida (vt. Palo Alto Networks'i Applipedia ja otsige fraasi "dns-over-https").

DNS over TLS (DoT)

DNS TLS-i sees

Kuigi DoH protokoll püüdleb selle poole, et seguneda sama porte kasutava muu liiklusega, kasutab DoT vaikimisi eraldi porti, mis on reserveeritud vaid selleks eesmärgiks, isegi kui see keelab traditsioonilise krüpteerimata DNS liikluse kasutamise samal pordil ( RFC 7858, jaotis 3.1 ).

DoT protokoll kasutab TLS protokolli, et tagada krüpteerimine, mis kapseldab standardseid DNS protokolla päringuid, kasutades tuntud porti 853 ( RFC 7858, jaotis 6 ). DoT protokoll on loodud selleks, et organisatsioonidel oleks lihtsam blokeerida liiklust sellel pordil, kas nõustudes selle kasutamisega või sisse lülitades mõne dekrüpteerimise sellel pordil.

DoT riskid

Google on rakendanud DoT oma kliendis Android 9 Pie ja uuemates versioonides , samas on vaikimisi sisse lülitatud automaatne DoT kasutamise seadistus, kui see on saadaval. Kui olete riske hinnanud ja olete valmis DoT-i kasutama organisatsioonitasandil, peavad võrguhaldurid selgelt lubama väljamineva liikluse pordile 853 oma perimeetrites selle uue protokolli jaoks.

DoT liikluse nähtavuse ja kontrolli tagamine

Parimaks praktikaks DoT-i kontrollimiseks soovitame mõnda eelnevalt loetletud, lähtudes teie organisatsiooni nõuetest:

Konfigureerige NGFW, et dekrüpteerida kogu liiklus sihtpunkti 853. Dekrüpteerimisega ilmneb DoT kui DNS rakendus, mille suhtes saate rakendada mistahes tegevust, näiteks sisse lülitada tellimuse. Palo Alto Networks DNS turvalisus DGA domeenide kontrollimiseks või juba olemasoleva DNS Sinkholing ja viirusetõrje.
Alternatiivselt võite blokeerida App-ID mootoriga ‘dns-over-tls’ liikluse pordil 853. Tavaliselt on see vaikimisi blokeeritud, lisatoiminguid ei ole vajalik (kui te pole konkreetselt lubanud ‘dns-over-tls’ rakendust või liiklust pordil 853).

Allikas: habr.com