डीएनएस-ओवर-टीएलएस (डीओटी) और डीएनएस-ओवर-एचटीटीपीएस (डीओएच) का उपयोग करने के जोखिमों को कम करना

DoH और DoT के उपयोग के जोखिमों को कम करना

DoH और DoT सुरक्षा

क्या आप अपने DNS ट्रैफ़िक को नियंत्रित करते हैं? संगठन अपने नेटवर्क को सुरक्षित करने में बहुत समय, धन और प्रयास का निवेश करते हैं। हालाँकि, एक क्षेत्र जिस पर अक्सर पर्याप्त ध्यान नहीं दिया जाता वह है DNS।

DNS द्वारा लाए जाने वाले जोखिमों का एक अच्छा अवलोकन है वेरीसाइन प्रस्तुति इन्फोसिक्योरिटी सम्मेलन में.

सर्वेक्षण में शामिल रैनसमवेयर वर्गों में से 31% ने कुंजी विनिमय के लिए DNS का उपयोग किया। अध्ययन के निष्कर्ष

सर्वेक्षण में शामिल 31% रैंसमवेयर वर्गों ने कुंजी विनिमय के लिए DNS का उपयोग किया।

समस्या गंभीर है. पालो अल्टो नेटवर्क यूनिट 42 अनुसंधान प्रयोगशाला के अनुसार, लगभग 85% मैलवेयर कमांड और नियंत्रण चैनल स्थापित करने के लिए DNS का उपयोग करते हैं, जिससे हमलावर आसानी से आपके नेटवर्क में मैलवेयर इंजेक्ट कर सकते हैं और साथ ही डेटा चोरी भी कर सकते हैं। अपनी स्थापना के बाद से, DNS ट्रैफ़िक को काफी हद तक अनएन्क्रिप्टेड किया गया है और इसका NGFW सुरक्षा तंत्र द्वारा आसानी से विश्लेषण किया जा सकता है। 

DNS कनेक्शन की गोपनीयता बढ़ाने के उद्देश्य से DNS के लिए नए प्रोटोकॉल सामने आए हैं। उन्हें अग्रणी ब्राउज़र विक्रेताओं और अन्य सॉफ़्टवेयर विक्रेताओं द्वारा सक्रिय रूप से समर्थन प्राप्त है। एन्क्रिप्टेड DNS ट्रैफ़िक जल्द ही कॉर्पोरेट नेटवर्क में बढ़ना शुरू हो जाएगा। एन्क्रिप्टेड DNS ट्रैफ़िक जिसका टूल द्वारा ठीक से विश्लेषण और समाधान नहीं किया जाता है, किसी कंपनी के लिए सुरक्षा जोखिम पैदा करता है। उदाहरण के लिए, ऐसा खतरा क्रिप्टोलॉकर्स हैं जो एन्क्रिप्शन कुंजी का आदान-प्रदान करने के लिए DNS का उपयोग करते हैं। हमलावर अब आपके डेटा तक पहुंच बहाल करने के लिए कई मिलियन डॉलर की फिरौती मांग रहे हैं। उदाहरण के लिए, गार्मिन ने $10 मिलियन का भुगतान किया।

जब ठीक से कॉन्फ़िगर किया जाता है, तो एनजीएफडब्ल्यू डीएनएस-ओवर-टीएलएस (डीओटी) के उपयोग को अस्वीकार या संरक्षित कर सकता है और इसका उपयोग डीएनएस-ओवर-एचटीटीपीएस (डीओएच) के उपयोग को अस्वीकार करने के लिए किया जा सकता है, जिससे आपके नेटवर्क पर सभी डीएनएस ट्रैफ़िक का विश्लेषण किया जा सकता है।

एन्क्रिप्टेड DNS क्या है?

डीएनएस क्या है

डोमेन नाम सिस्टम (डीएनएस) मानव-पठनीय डोमेन नाम (उदाहरण के लिए, पता) का समाधान करता है www.paloaltonenetworks.com ) आईपी पते पर (उदाहरण के लिए, 34.107.151.202)। जब कोई उपयोगकर्ता वेब ब्राउज़र में एक डोमेन नाम दर्ज करता है, तो ब्राउज़र उस डोमेन नाम से जुड़े आईपी पते के लिए डीएनएस सर्वर पर एक डीएनएस क्वेरी भेजता है। जवाब में, DNS सर्वर वह आईपी पता लौटाता है जिसका उपयोग यह ब्राउज़र करेगा।

DNS क्वेरीज़ और प्रतिक्रियाएं पूरे नेटवर्क में सादे पाठ में अनएन्क्रिप्टेड रूप में भेजी जाती हैं, जिससे यह जासूसी करने या प्रतिक्रिया को बदलने और ब्राउज़र को दुर्भावनापूर्ण सर्वर पर रीडायरेक्ट करने के लिए असुरक्षित हो जाता है। डीएनएस एन्क्रिप्शन ट्रांसमिशन के दौरान डीएनएस अनुरोधों को ट्रैक करना या बदलना मुश्किल बना देता है। DNS अनुरोधों और प्रतिक्रियाओं को एन्क्रिप्ट करना आपको पारंपरिक प्लेनटेक्स्ट DNS (डोमेन नाम सिस्टम) प्रोटोकॉल के समान कार्यक्षमता निष्पादित करते हुए मैन-इन-द-मिडिल हमलों से बचाता है। 

पिछले कुछ वर्षों में, दो DNS एन्क्रिप्शन प्रोटोकॉल पेश किए गए हैं:

1. डीएनएस-ओवर-एचटीटीपीएस (डीओएच)

2. डीएनएस-ओवर-टीएलएस (डीओटी)

इन प्रोटोकॉल में एक बात समान है: वे जानबूझकर DNS अनुरोधों को किसी भी अवरोधन से छिपाते हैं... और संगठन के सुरक्षा गार्डों से भी। प्रोटोकॉल मुख्य रूप से टीएलएस (ट्रांसपोर्ट लेयर सिक्योरिटी) का उपयोग क्वेरी बनाने वाले क्लाइंट और एक पोर्ट पर डीएनएस क्वेरी को हल करने वाले सर्वर के बीच एक एन्क्रिप्टेड कनेक्शन स्थापित करने के लिए करते हैं जो आमतौर पर डीएनएस ट्रैफिक के लिए उपयोग नहीं किया जाता है।

DNS क्वेरीज़ की गोपनीयता इन प्रोटोकॉल का एक बड़ा लाभ है। हालाँकि, वे सुरक्षा गार्डों के लिए समस्याएँ पैदा करते हैं जिन्हें नेटवर्क ट्रैफ़िक की निगरानी करनी होती है और दुर्भावनापूर्ण कनेक्शन का पता लगाना और उन्हें ब्लॉक करना होता है। क्योंकि प्रोटोकॉल उनके कार्यान्वयन में भिन्न होते हैं, विश्लेषण के तरीके DoH और DoT के बीच भिन्न होंगे।

HTTPS (DoH) पर DNS

HTTPS के अंदर DNS

DoH HTTPS के लिए प्रसिद्ध पोर्ट 443 का उपयोग करता है, जिसके लिए RFC विशेष रूप से बताता है कि इरादा "DoH ट्रैफ़िक को उसी कनेक्शन पर अन्य HTTPS ट्रैफ़िक के साथ मिलाना", "DNS ट्रैफ़िक का विश्लेषण करना कठिन बनाना" और इस प्रकार कॉर्पोरेट नियंत्रणों को दरकिनार करना है। ( आरएफसी 8484 डीओएच अनुभाग 8.1 ). DoH प्रोटोकॉल टीएलएस एन्क्रिप्शन और सामान्य HTTPS और HTTP/2 मानकों द्वारा प्रदान किए गए अनुरोध सिंटैक्स का उपयोग करता है, मानक HTTP अनुरोधों के शीर्ष पर DNS अनुरोध और प्रतिक्रियाएं जोड़ता है।

DoH से जुड़े जोखिम

यदि आप नियमित HTTPS ट्रैफ़िक को DoH अनुरोधों से अलग नहीं कर सकते हैं, तो आपके संगठन के भीतर एप्लिकेशन DoH अनुरोधों का जवाब देने वाले तृतीय-पक्ष सर्वर पर अनुरोधों को पुनर्निर्देशित करके स्थानीय DNS सेटिंग्स को बायपास कर सकते हैं (और करेंगे), जो किसी भी निगरानी को बायपास करता है, अर्थात क्षमता को नष्ट कर देता है। DNS ट्रैफ़िक को नियंत्रित करें. आदर्श रूप से, आपको HTTPS डिक्रिप्शन फ़ंक्शंस का उपयोग करके DoH को नियंत्रित करना चाहिए। 

И Google और Mozilla ने DoH क्षमताओं को कार्यान्वित किया है अपने ब्राउज़र के नवीनतम संस्करण में, और दोनों कंपनियां सभी DNS अनुरोधों के लिए डिफ़ॉल्ट रूप से DoH का उपयोग करने के लिए काम कर रही हैं। माइक्रोसॉफ्ट भी योजनाएं विकसित कर रहा है DoH को उनके ऑपरेटिंग सिस्टम में एकीकृत करने पर। नकारात्मक पक्ष यह है कि न केवल प्रतिष्ठित सॉफ्टवेयर कंपनियां, बल्कि हमलावरों ने भी पारंपरिक कॉर्पोरेट फ़ायरवॉल उपायों को दरकिनार करने के साधन के रूप में DoH का उपयोग करना शुरू कर दिया है। (उदाहरण के लिए, निम्नलिखित लेखों की समीक्षा करें: PsiXBot अब Google DoH का उपयोग करता है , PsiXBot अद्यतन DNS बुनियादी ढांचे के साथ विकसित होना जारी रखता है и गॉडलुआ बैकडोर विश्लेषण .) किसी भी मामले में, अच्छे और दुर्भावनापूर्ण DoH ट्रैफ़िक दोनों का पता नहीं चल पाएगा, जिससे संगठन मैलवेयर (C2) को नियंत्रित करने और संवेदनशील डेटा चुराने के लिए DoH के दुर्भावनापूर्ण उपयोग के प्रति अंधा हो जाएगा।

डीओएच यातायात की दृश्यता और नियंत्रण सुनिश्चित करना

DoH नियंत्रण के सर्वोत्तम समाधान के रूप में, हम HTTPS ट्रैफ़िक को डिक्रिप्ट करने और DoH ट्रैफ़िक को ब्लॉक करने के लिए NGFW को कॉन्फ़िगर करने की अनुशंसा करते हैं (एप्लिकेशन का नाम: dns-over-https)। 

सबसे पहले, सुनिश्चित करें कि NGFW को HTTPS को डिक्रिप्ट करने के लिए कॉन्फ़िगर किया गया है सर्वोत्तम डिक्रिप्शन तकनीकों के लिए एक मार्गदर्शिका.

दूसरा, एप्लिकेशन ट्रैफ़िक "dns-over-https" के लिए एक नियम बनाएं जैसा कि नीचे दिखाया गया है:

डीएनएस-ओवर-एचटीटीपीएस को ब्लॉक करने के लिए पालो ऑल्टो नेटवर्क एनजीएफडब्ल्यू नियम

एक अंतरिम विकल्प के रूप में (यदि आपके संगठन ने HTTPS डिक्रिप्शन को पूरी तरह से लागू नहीं किया है), एनजीएफडब्ल्यू को "डीएनएस-ओवर-https" एप्लिकेशन आईडी पर "अस्वीकार" कार्रवाई लागू करने के लिए कॉन्फ़िगर किया जा सकता है, लेकिन प्रभाव कुछ अच्छी तरह से अवरुद्ध करने तक सीमित होगा- DoH सर्वर को उनके डोमेन नाम से जाना जाता है, तो HTTPS डिक्रिप्शन के बिना, DoH ट्रैफ़िक का पूरी तरह से निरीक्षण कैसे नहीं किया जा सकता है (देखें)  पालो अल्टो नेटवर्क से अप्प्लिपीडिया   और "dns-over-https" खोजें)।

टीएलएस (डीओटी) पर डीएनएस

टीएलएस के अंदर डीएनएस

जबकि DoH प्रोटोकॉल एक ही पोर्ट पर अन्य ट्रैफ़िक के साथ मिश्रित हो जाता है, DoT इसके बजाय उस एकमात्र उद्देश्य के लिए आरक्षित एक विशेष पोर्ट का उपयोग करने में चूक करता है, यहां तक ​​​​कि विशेष रूप से उसी पोर्ट को पारंपरिक अनएन्क्रिप्टेड DNS ट्रैफ़िक द्वारा उपयोग करने की अनुमति नहीं देता है ( आरएफसी 7858, धारा 3.1 ).

DoT प्रोटोकॉल एन्क्रिप्शन प्रदान करने के लिए TLS का उपयोग करता है जो मानक DNS प्रोटोकॉल क्वेरीज़ को सुप्रसिद्ध पोर्ट 853 का उपयोग करके ट्रैफ़िक के साथ समाहित करता है ( आरएफसी 7858 अनुभाग 6 ). DoT प्रोटोकॉल को संगठनों के लिए किसी पोर्ट पर ट्रैफ़िक को ब्लॉक करना, या ट्रैफ़िक स्वीकार करना लेकिन उस पोर्ट पर डिक्रिप्शन सक्षम करना आसान बनाने के लिए डिज़ाइन किया गया था।

DoT से जुड़े जोखिम

Google ने अपने क्लाइंट में DoT लागू किया है एंड्रॉइड 9 पाई और बाद में , यदि उपलब्ध हो तो स्वचालित रूप से DoT का उपयोग करने की डिफ़ॉल्ट सेटिंग के साथ। यदि आपने जोखिमों का आकलन कर लिया है और संगठनात्मक स्तर पर DoT का उपयोग करने के लिए तैयार हैं, तो आपको इस नए प्रोटोकॉल के लिए नेटवर्क प्रशासकों को स्पष्ट रूप से पोर्ट 853 पर उनकी परिधि के माध्यम से आउटबाउंड ट्रैफ़िक की अनुमति देने की आवश्यकता है।

DoT ट्रैफ़िक की दृश्यता और नियंत्रण सुनिश्चित करना

DoT नियंत्रण के लिए सर्वोत्तम अभ्यास के रूप में, हम आपके संगठन की आवश्यकताओं के आधार पर उपरोक्त में से किसी एक की अनुशंसा करते हैं:

• गंतव्य पोर्ट 853 के लिए सभी ट्रैफ़िक को डिक्रिप्ट करने के लिए NGFW को कॉन्फ़िगर करें। ट्रैफ़िक को डिक्रिप्ट करके, DoT एक DNS एप्लिकेशन के रूप में दिखाई देगा, जिस पर आप कोई भी कार्रवाई लागू कर सकते हैं, जैसे सदस्यता सक्षम करना पालो ऑल्टो नेटवर्क डीएनएस सुरक्षा DGA डोमेन या किसी मौजूदा डोमेन को नियंत्रित करने के लिए डीएनएस सिंकहोलिंग और एंटी-स्पाइवेयर.

• एक विकल्प यह है कि ऐप-आईडी इंजन पोर्ट 853 पर 'डीएनएस-ओवर-टीएलएस' ट्रैफ़िक को पूरी तरह से ब्लॉक कर दे। यह आमतौर पर डिफ़ॉल्ट रूप से ब्लॉक किया जाता है, किसी कार्रवाई की आवश्यकता नहीं होती है (जब तक कि आप विशेष रूप से 'डीएनएस-ओवर-टीएलएस' एप्लिकेशन या पोर्ट ट्रैफ़िक की अनुमति नहीं देते हैं) 853).

स्रोत: www.habr.com