Wat it bedriuw ek docht, feiligens moat in yntegraal diel wêze fan har feiligensplan. Namme tsjinsten, dy't hostnammen oplosse nei IP-adressen, wurde brûkt troch praktysk elke applikaasje en tsjinst op it netwurk.
As in oanfaller kontrôle krijt oer de DNS fan in organisaasje, kin hy maklik:
- jou josels kontrôle oer dielde boarnen
- omliede ynkommende e-mails lykas weboanfragen en autentikaasjepogingen
- meitsje en falidearje SSL / TLS sertifikaten
Dizze hantlieding besjocht DNS-befeiliging út twa hoeken:
- It útfieren fan trochgeande tafersjoch en kontrôle oer DNS
- Hoe nije DNS-protokollen lykas DNSSEC, DOH en DoT kinne helpe om de yntegriteit en fertroulikens fan oerdroegen DNS-oanfragen te beskermjen
Wat is DNS-befeiliging?
It konsept fan DNS-befeiliging omfettet twa wichtige komponinten:
- It garandearjen fan de algemiene yntegriteit en beskikberens fan DNS-tsjinsten dy't hostnammen nei IP-adressen oplosse
- Monitor DNS-aktiviteit om mooglike feiligensproblemen oeral op jo netwurk te identifisearjen
Wêrom is DNS kwetsber foar oanfallen?
DNS-technology waard makke yn 'e iere dagen fan it ynternet, lang foardat immen sels begon te tinken oer netwurkfeiligens. DNS wurket sûnder autentikaasje of fersifering, en ferwurket blyn oanfragen fan elke brûker.
Hjirtroch binne d'r in protte manieren om de brûker te ferrifeljen en ynformaasje te ferfalskjen oer wêr't de resolúsje fan nammen nei IP-adressen eins plakfynt.
DNS Feiligens: problemen en komponinten
DNS-befeiliging bestiet út ferskate basis Komponinten, elk fan dat moat rekken holden wurde om folsleine beskerming te garandearjen:
- Fersterkjen fan serverfeiligens en behearprosedueres: fergrutsje it nivo fan tsjinner feiligens en meitsje in standert commissioning template
- Protokol ferbetterings: ymplemintearje DNSSEC, DoT of DoH
- Analyze en rapportaazje: foegje in DNS-evenemintlog ta oan jo SIEM-systeem foar ekstra kontekst by it ûndersykjen fan ynsidinten
- Cyber yntelliginsje en bedrigingsdeteksje: abonnearje op in aktive bedriging yntelliginsje feed
- Automatisearring: meitsje safolle mooglik skripts om prosessen te automatisearjen
De hjirboppe neamde komponinten op hege nivo binne gewoan it tip fan 'e DNS-befeiliging iisberch. Yn 'e folgjende seksje sille wy dûke yn mear spesifike gebrûksgefallen en bêste praktiken wêr't jo oer witte moatte.
DNS oanfallen
- : it brûken fan in systeemkwetsberens om de DNS-cache te manipulearjen om brûkers nei in oare lokaasje troch te lieden
- : primêr brûkt om beskermingen op ôfstân te omgean
- DNS-kaping: trochferwizing fan normaal DNS-ferkear nei in oare doel-DNS-tsjinner troch de domeinregistrator te feroarjen
- NXDOMAIN oanfal: it útfieren fan in DDoS-oanfal op in autoritative DNS-tsjinner troch it ferstjoeren fan illegitime domeinfragen om in twongen antwurd te krijen
- fantom domein: feroarsaket dat de DNS-resolver wachtsje op in antwurd fan net-besteande domeinen, wat resulteart yn minne prestaasjes
- oanfal op in willekeurige subdomein: kompromittearre hosts en botnets lansearje in DDoS-oanfal op in jildich domein, mar rjochtsje har fjoer op falske subdomeinen om de DNS-tsjinner te twingen om records op te sykjen en kontrôle oer de tsjinst oer te nimmen
- domein blokkearje: ferstjoert meardere spam-antwurden om DNS-tsjinnerboarnen te blokkearjen
- Botnet-oanfal fan abonnee-apparatuer: in samling kompjûters, modems, routers en oare apparaten dy't de kompjûterkrêft konsintrearje op in spesifike webside om it te oerladen mei ferkearsoanfragen
DNS oanfallen
Oanfallen dy't de DNS op ien of oare manier brûke om oare systemen oan te fallen (d.w.s. feroarjen fan DNS-records is net it eindoel):
- Fast-Flux
- Single Flux Networks
- Double Flux Networks
DNS oanfallen
Oanfallen dy't resultearje yn it IP-adres dat nedich is troch de oanfaller wurdt weromjûn fan 'e DNS-tsjinner:
- DNS-spoofing of cachefergiftiging
- DNS-kaping
Wat is DNSSEC?
DNSSEC - Domain Name Service Security Engines - wurde brûkt om DNS-records te falidearjen sûnder algemiene ynformaasje te witten foar elk spesifyk DNS-fersyk.
DNSSEC brûkt Digital Signature Keys (PKI's) om te kontrolearjen oft de resultaten fan in domeinnammefraach út in jildige boarne kamen.
It ymplementearjen fan DNSSEC is net allinich in bêste praktyk fan 'e yndustry, mar it is ek effektyf om de measte DNS-oanfallen te foarkommen.
Hoe DNSSEC wurket
DNSSEC wurket fergelykber mei TLS/HTTPS, mei help fan iepenbiere en privee kaaipearen om DNS-records digitaal te ûndertekenjen. Algemien oersjoch fan it proses:
- DNS-records wurde tekene mei in privee-privee kaaipaar
- Antwurden op DNSSEC-fragen befetsje it oanfrege record, lykas de hantekening en iepenbiere kaai
- doe brûkt om de autentisiteit fan in rekord en in hantekening te fergelykjen
DNS en DNSSEC Feiligens
DNSSEC is in ark foar it kontrolearjen fan de yntegriteit fan DNS-fragen. It hat gjin ynfloed op DNS-privacy. Mei oare wurden, DNSSEC kin jo fertrouwen jaan dat it antwurd op jo DNS-fraach net is manipulearre, mar elke oanfaller kin dizze resultaten sjen sa't se nei jo binne stjoerd.
DoT - DNS oer TLS
Transport Layer Security (TLS) is in kryptografysk protokol foar it beskermjen fan ynformaasje oer in netwurkferbining. Sadree't in feilige TLS-ferbining is oprjochte tusken de kliïnt en de tsjinner, wurde de oerdroegen gegevens fersifere en kin gjin tuskenpersoan it sjen.
meast brûkt as ûnderdiel fan HTTPS (SSL) yn jo webblêder, om't fersiken wurde stjoerd nei feilige HTTP-tsjinners.
DNS-over-TLS (DNS over TLS, DoT) brûkt it TLS-protokol om it UDP-ferkear fan reguliere DNS-oanfragen te fersiferjen.
It fersiferjen fan dizze oanfragen yn platte tekst helpt brûkers of applikaasjes te beskermjen dy't oanfragen meitsje fan ferskate oanfallen.
- MitM, of "man yn it midden": Sûnder fersifering kin it tuskensysteem tusken de kliïnt en de autoritative DNS-tsjinner mooglik falske of gefaarlike ynformaasje nei de kliïnt stjoere as antwurd op in fersyk
- Spionaazje en tracking: Sûnder fersifering fan fersiken is it maklik foar middleware-systemen om te sjen hokker siden in bepaalde brûker of applikaasje tagong hat. Hoewol DNS allinich de spesifike side dy't op in webside wurdt besocht net sil iepenbierje, is gewoan te witten fan 'e frege domeinen genôch om in profyl fan in systeem as in yndividu te meitsjen
Boarne:
DoH - DNS oer HTTPS
DNS-over-HTTPS (DNS oer HTTPS, DoH) is in eksperiminteel protokol promovearre tegearre troch Mozilla en Google. De doelen binne fergelykber mei it DoT-protokol - it ferbetterjen fan de privacy fan minsken online troch DNS-oanfragen en antwurden te fersiferjen.
Standert DNS-fragen wurde ferstjoerd oer UDP. Oanfragen en antwurden kinne wurde folge mei helpmiddels lykas . DoT fersiferet dizze oanfragen, mar se wurde noch altyd identifisearre as frij ûnderskate UDP-ferkear op it netwurk.
DoH nimt in oare oanpak en stjoert fersifere hostnamme-resolúsje-oanfragen oer HTTPS-ferbiningen, dy't lykje op alle oare weboanfragen oer it netwurk.
Dit ferskil hat heul wichtige gefolgen sawol foar systeembehearders as foar de takomst fan nammeresolúsje.
- DNS-filtering is in gewoane manier om webferkear te filterjen om brûkers te beskermjen tsjin phishing-oanfallen, siden dy't malware fersprieden, of oare mooglik skealike ynternetaktiviteiten op in bedriuwsnetwurk. It DoH-protokol omgiet dizze filters, wêrtroch brûkers en it netwurk mooglik bleatstelle oan grutter risiko.
- Yn it hjoeddeistige model foar nammeresolúsje ûntfangt elk apparaat op it netwurk min of mear DNS-fragen fan deselde lokaasje (in spesifisearre DNS-tsjinner). DoH, en benammen Firefox syn ymplemintaasje dêrfan, lit sjen dat dit yn 'e takomst feroarje kin. Elke applikaasje op in kompjûter kin gegevens ûntfange fan ferskate DNS-boarnen, wat it oplossen fan problemen, feiligens en risikomodellering folle komplekser makket.
Boarne:
Wat is it ferskil tusken DNS oer TLS en DNS oer HTTPS?
Litte wy begjinne mei DNS oer TLS (DoT). It haadpunt hjir is dat it orizjinele DNS-protokol net feroare is, mar gewoan feilich oer in feilich kanaal oerbrocht wurdt. DoH, oan 'e oare kant, set DNS yn HTTP-formaat foardat jo oanfragen meitsje.
DNS Monitoring Alerts
De mooglikheid om effektyf DNS-ferkear op jo netwurk te kontrolearjen foar fertochte anomalies is kritysk foar iere opspoaring fan in brek. It brûken fan in ark lykas Varonis Edge sil jo de mooglikheid jaan om boppe-op alle wichtige metriken te bliuwen en profilen te meitsjen foar elk akkount op jo netwurk. Jo kinne warskôgings ynstelle om te generearjen as gefolch fan in kombinaasje fan aksjes dy't foarkomme oer in spesifike perioade.
DNS-feroarings kontrolearje, akkountlokaasjes, earste kear gebrûk en tagong ta gefoelige gegevens, en aktiviteit nei oeren binne mar in pear metriken dy't kinne wurde korrelearre om in breder detectiebyld te bouwen.
Boarne: www.habr.com