{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/hr\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"Minimizacija rizika kori\u0161tenja DNS-over-TLS (DoT) i DNS-over-HTTPS (DoH)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MinimizacijaMinimizacija rizika kori\u0161tenja DoH i DoT<\/p>\n

Za\u0161tita od DoH i DoT<\/h2>\n

Kontrolirate li svoj DNS promet? Organizacije ula\u017eu puno vremena, novca i truda u osiguranje sigurnosti svojih mre\u017ea. Me\u0111utim, jedno od podru\u010dja koje \u010desto ostaje neprimije\u0107eno je DNS. <\/p>\n

Dobar pregled rizika povezanih s DNS-om je prezentacija Verisign<\/a><\/noindex> na konferenciji Infosecurity. <\/p>\n

\"Minimizacija31% ispitivanih klasa zlonamjernih programa koristilo je DNS za razmjenu klju\u010deva. Zaklju\u010dci istra\u017eivanja<\/p>\n

31% ispitivanih klasa zlonamjernih programa koristilo je DNS za razmjenu klju\u010deva.<\/p>\n

Problematika je ozbiljna. Prema istra\u017eiva\u010dkoj laboratoriji Palo Alto Networks Unit 42, otprilike 85% zlonamjernih programa koristi DNS za uspostavljanje kanala upravljanja i kontrole, omogu\u0107uju\u0107i napada\u010dima da lako implementiraju zlonamjerni softver u va\u0161u mre\u017eu, kao i da kradu podatke. Od svog nastanka, DNS promet je ve\u0107inom bio neza\u0161ti\u0107en i lako se mogao analizirati za\u0161titnim mehanizmima NGFW. <\/p>\n

Pojavili su se novi protokoli za DNS usmjerene na pobolj\u0161anje privatnosti DNS veza. Aktivno ih podr\u017eavaju vode\u0107i pru\u017eatelji preglednika i drugi pru\u017eatelji softvera. Uskoro \u0107e do\u0107i do rasta \u0161ifriranog DNS prometa u korporativnim mre\u017eama. \u0160ifrirani DNS promet, koji se ne analizira pravilnim sredstvima, predstavlja sigurnosnu prijetnju za tvrtku. Na primjer, jedna od prijetnji su crypto-lockeri koji koriste DNS za razmjenu klju\u010deva za \u0161ifriranje. Napada\u010di trenutno tra\u017ee otkup od nekoliko milijuna dolara za vra\u0107anje pristupa va\u0161im podacima. U tvrtki Garmin, na primjer, platili su 10 milijuna dolara.<\/p>\n

Uz pravilnu konfiguraciju, NGFW mo\u017ee zabraniti ili za\u0161tititi kori\u0161tenje DNS-over-TLS (DoT) i mo\u017ee se koristiti za zabranu kori\u0161tenja DNS-over-HTTPS (DoH), \u0161to omogu\u0107uje analizu cijelog DNS prometa u va\u0161oj mre\u017ei.<\/p>\n

\u0160to je \u0161ifrirani DNS?<\/h2>\n

\u0160to je DNS<\/p>\n

Sustav domena imena (DNS) pretvara \u010ditljiva ljudska imena domena (npr. adresu www.paloaltonetworks.com<\/a><\/noindex> ) na IP adresu (na primjer, 34.107.151.202). Kada korisnik unese naziv domene u web pregledniku, preglednik \u0161alje DNS upit DNS poslu\u017eitelju, tra\u017ee\u0107i IP adresu povezanu s tim nazivom domene. U odgovoru, DNS poslu\u017eitelj vra\u0107a IP adresu koju \u0107e ovaj preglednik koristiti.<\/p>\n

DNS upiti i odgovori \u0161alju se mre\u017eom u obliku obi\u010dnog teksta, ne\u0161ifrirani, \u0161to ih \u010dini ranjivima na \u0161pijuniranje ili izmjenu odgovora te preusmjeravanje preglednika na zlonamjerne poslu\u017eitelje. \u0160ifriranje DNS-a ote\u017eava pra\u0107enje DNS upita ili njihovu izmjenu tijekom prijenosa. \u0160ifriranje DNS upita i odgovora \u0161titi vas od napada Man-in-the-Middle, obavljaju\u0107i pritom iste funkcije kao tradicionalni protokol DNS (sustav domena) u obi\u010dnom tekstu. <\/p>\n

U posljednjih nekoliko godina implementirana su dva protokola \u0161ifriranja DNS-a:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Ovi protokoli imaju jednu zajedni\u010dku osobinu: namjerno skrivaju DNS upite od bilo kakvog presretanja... uklju\u010duju\u0107i i od za\u0161titara unutar organizacije. Protokoli prvenstveno koriste TLS (Transport Layer Security) za uspostavljanje \u0161ifrirane veze izme\u0111u klijenta koji upu\u0107uje zahtjeve i poslu\u017eitelja koji rje\u0161ava DNS zahtjeve, preko porta koji se obi\u010dno ne koristi za DNS promet.<\/p>\n

    Privatnost DNS upita veliki je plus ovih protokola. Me\u0111utim, predstavljaju probleme za sigurnosne stru\u010dnjake koji moraju nadzirati mre\u017eni promet i otkrivati i blokirati zlonamerne veze. Budu\u0107i da se protokoli razlikuju po svojoj implementaciji, metode analize \u0107e se razlikovati za DoH i DoT.<\/p>\n

    DNS over HTTPS (DoH)<\/h2>\n

    \"MinimizacijaDNS unutar HTTPS-a<\/p>\n

    DoH koristi dobro poznati port 443 za HTTPS, za koji RFC posebno nagla\u0161ava da je njegova svrha \u201emije\u0161ati DoH promet s drugim HTTPS prometom u istoj vezi\u201c, \u201eote\u017eati analizu DNS prometa\u201c i, tako, zaobi\u0107i korporativne kontrole ( RFC 8484 DoH, odjeljak 8.1<\/a><\/noindex> ). Protokol DoH koristi TLS \u0161ifriranje i sintaksu zahtjeva koju pru\u017eaju op\u0107i standardi HTTPS i HTTP\/2, dodaju\u0107i DNS upite i odgovore iznad standardnih HTTP zahtjeva.<\/p>\n

    Rizici povezani s DoH<\/h2>\n

    Ako ne mo\u017eete razlikovati obi\u010dni HTTPS promet od DoH zahtjeva, aplikacije unutar va\u0161e organizacije mogu (i ho\u0107e) zaobi\u0107i lokalne DNS postavke preusmjeravanjem zahtjeva na vanjske servere koji odgovaraju na DoH zahtjeve, \u0161to zaobilazi bilo kakvo pra\u0107enje, tj. uni\u0161tava mogu\u0107nost kontrole DNS prometa. U idealnom slu\u010daju, trebali biste kontrolirati DoH koriste\u0107i funkcije de\u0161ifriranja HTTPS-a. <\/p>\n

    I Google i Mozilla implementirali su DoH mogu\u0107nosti<\/a><\/noindex> u najnovijim verzijama svojih preglednika, a obje tvrtke rade na kori\u0161tenju DoH-a kao zadane postavke za sve DNS zahtjeve. Microsoft tako\u0111er razvija planove<\/a><\/noindex> za integraciju DoH-a u svoje operacijske sustave. Nedostatak je \u0161to ne samo ugledne softverske tvrtke, ve\u0107 i zlonamjerni akteri po\u010dinju koristiti DoH kao sredstvo za zaobila\u017eenje tradicionalnih korporativnih sigurnosnih mjera. (Na primjer, pogledajte sljede\u0107e \u010dlanke: PsiXBot sada koristi Google DoH<\/a><\/noindex> , PsiXBot nastavlja razvoj s a\u017euriranom DNS infrastrukturom<\/a><\/noindex> i analiza backdoora Godlua<\/a><\/noindex> .) U svakom slu\u010daju, dobar i zlonamjeran DoH promet ostat \u0107e neprimije\u0107en, ostavljaju\u0107i organizaciju slijepom na zlonamjernu upotrebu DoH-a kao kanala za upravljanje zlo\u0107udnim softverom (C2) i kra\u0111u povjerljivih podataka.<\/p>\n

    Osiguranje vidljivosti i kontrole DoH prometa<\/h2>\n

    Kao najbolje rje\u0161enje za kontrolu DoH-a, preporu\u010dujemo postavljanje de\u0161ifriranja HTTPS prometa i blokiranje DoH prometa u NGFW-u (naziv aplikacije: dns-over-https). <\/p>\n

    Prvo, osigurajte da je NGFW postavljen za de\u0161ifriranje HTTPS-a, u skladu s vodi\u010dem za najbolje prakse de\u0161ifriranja<\/a><\/noindex>.<\/p>\n

    Drugo, kreirajte pravilo za aplikacijski promet 'dns-over-https', kao \u0161to je prikazano u nastavku:<\/p>\n

    \"MinimizacijaPravilo Palo Alto Networks NGFW za blokiranje DNS-over-HTTPS<\/p>\n

    Kao privremena alternativa (ako va\u0161a organizacija nije potpuno implementirala de\u0161ifriranje HTTPS-a) NGFW se mo\u017ee postaviti da primijeni akciju 'zabraniti' na identifikator aplikacije 'dns-over-https', ali \u0107e u\u010dinak biti ograni\u010den na blokiranje odre\u0111enih dobro poznatih DoH servera po njihovim domenama, jer bez de\u0161ifriranja HTTPS-a promet DoH ne mo\u017ee biti potpuno provjeren (vidi.  Applipedia Palo Alto Networks<\/a><\/noindex>   i pretra\u017eite po frazi 'dns-over-https').<\/p>\n

    DNS preko TLS-a (DoT)<\/h2>\n

    \"MinimizacijaDNS unutar TLS-a<\/p>\n

    Dok protokol DoH poku\u0161ava da se me\u0161a sa drugim saobra\u0107ajem na istom portu, DoT po defaultu koristi poseban port, rezervisan isklju\u010divo za ovu svrhu, posebno zabranjuju\u0107i kori\u0161\u0107enje istog porta za tradicionalni ne\u0161ifrovani DNS saobra\u0107aj ( RFC 7858, Odjeljak 3.1<\/a><\/noindex> ).<\/p>\n

    Protokol DoT koristi protokol TLS za obezbe\u0111ivanje enkripcije, koji inkapsulira standardne upite protokola DNS, sa saobra\u0107ajem koji koristi dobro poznati port 853 ( RFC 7858, odjeljak 6<\/a><\/noindex> ). Protokol DoT je razvijen kako bi olak\u0161ao organizacijama blokiranje prometa preko porta, ili suglasnost za njegovo kori\u0161tenje, ali uklju\u010diti dekodiranje na tom portu.<\/p>\n

    Risici povezani sa DoT<\/h2>\n

    Google je implementirao DoT u svom klijentu Android 9 Pie i novijim verzijama<\/a><\/noindex> , pri \u010demu je podrazumevano uklju\u010dena opcija automatskog kori\u0161\u0107enja DoT, ako je dostupna. Ako ste procenili rizike i spremni ste da koristite DoT na nivou organizacije, mre\u017eni administratori moraju eksplicitno da omogu\u0107e odlazni saobra\u0107aj na port 853 kroz svoj perimetar za ovaj novi protokol.<\/p>\n

    Obezbe\u0111ivanje vidljivosti i kontrole DoT saobra\u0107aja<\/h2>\n

    Kao najbolja praksa kontrole DoT-a, preporu\u010dujemo bilo koju od prethodno navedenih opcija, u zavisnosti od zahteva va\u0161e organizacije:<\/p>\n