Qualsiasi cosa faccia l'azienda, la sicurezza deve essere parte integrante del suo piano di sicurezza. I servizi di risoluzione dei nomi, che traducono i nomi degli host di rete in indirizzi IP, sono utilizzati da praticamente tutte le applicazioni e i servizi nella rete.
Se un malintenzionato ottiene il controllo del DNS di un'organizzazione, può facilmente:
- prendere il controllo delle risorse accessibili al pubblico
- reindirizzare le email in arrivo, così come le richieste web e i tentativi di autenticazione
- creare e convalidare certificati SSL/TLS
Questa guida affronta la sicurezza DNS da due prospettive:
- Monitoraggio continuo e controllo del DNS
- Come nuovi protocolli DNS, come DNSSEC, DOH e DoT, possono aiutare a proteggere l'integrità e la riservatezza delle richieste DNS trasmesse
Che cos'è la sicurezza DNS?
Il concetto di sicurezza DNS comprende due componenti importanti:
- Garantire l'integrità e la disponibilità complessiva dei servizi DNS, che traducono i nomi degli host di rete in indirizzi IP
- Monitorare l'attività DNS per identificare eventuali problemi di sicurezza nel vostro network
Perché il DNS è vulnerabile agli attacchi?
La tecnologia DNS è stata creata agli albori di Internet, molto prima che qualcuno iniziasse a pensare alla sicurezza di rete. Il DNS funziona senza autenticazione e crittografia, elaborando ciecamente le richieste di qualsiasi utente.
Di conseguenza, ci sono molteplici modi per ingannare un utente e falsificare informazioni su dove avviene realmente la traduzione dei nomi in indirizzi IP.
Sicurezza DNS: interrogativi e componenti
La sicurezza DNS è composta da diversi elementi fondamentali componenti, ognuno dei quali deve essere considerato per garantire una protezione completa:
- Rafforzamento della sicurezza dei server e delle procedure di gestione: aumentare il livello di sicurezza dei server e creare un modello standard per il loro setup
- Miglioramento del protocollo: implementare DNSSEC, DoT o DoH
- Analisi e reportistica: aggiungere il registro eventi DNS a un sistema SIEM per fornire contesto aggiuntivo durante l'indagine sugli incidenti
- Cyber intelligence e rilevamento delle minacce: iscriversi a un canale attivo per la ricezione di informazioni analitiche sulle minacce
- Automazione: crea il numero massimo possibile di scenari per automatizzare i processi
I componenti ad alto livello sopra menzionati sono solo la punta dell'iceberg della sicurezza DNS. Nella sezione successiva, esamineremo più in dettaglio casi d'uso specifici e buone pratiche che è necessario conoscere.
Attacchi al DNS
- : utilizzo di una vulnerabilità del sistema per gestire la cache DNS al fine di reindirizzare gli utenti altrove
- : viene principalmente utilizzato per eludere le misure di sicurezza contro le connessioni remote
- intercettazione DNS: reindirizzamento del traffico DNS normale verso un altro server DNS obiettivo modificando il registrar del dominio
- attacco NXDOMAIN: sotto forma di attacco DDoS a un server DNS autorevole inviando richieste di dominio illegittime per ottenere una risposta forzata
- dominio fantasma: costringe il risolutore DNS ad attendere una risposta da domini inesistenti, riducendo le prestazioni
- attacco a sottodominio casuale: i host compromessi e i botnet effettuano un attacco DDoS a un dominio attivo, ma concentrano il fuoco su sottodomini falsi per costringere il server DNS a cercare record e ottenere il controllo del servizio
- blocco del dominio: rappresenta l'invio di un gran numero di risposte spam per bloccare le risorse del server DNS
- attacco botnet da attrezzatura di abbonato: un insieme di computer, modem, router e altri dispositivi che concentrano la potenza di calcolo su un determinato sito web per sovraccaricarlo di richieste di traffico
Attacchi che utilizzano DNS
Attacchi che in qualche modo utilizzano il DNS per attaccare altri sistemi (cioè modificare i record DNS non è l'obiettivo finale):
- Fast-Flux
- Reti Flux singole
- Reti Flux doppie
Attacchi al DNS
Attacchi che portano a una risposta contenente l'indirizzo IP desiderato dall'attaccante dal server DNS:
- Sostituzione DNS o 'avvelenamento' della cache
- Intercettazione DNS
Cos'è DNSSEC?
DNSSEC - moduli di sicurezza per il servizio di nomi di dominio - vengono utilizzati per verificare i record DNS senza la necessità di conoscere le informazioni generali su ogni specifica richiesta DNS.
DNSSEC utilizza chiavi di firma digitale (PKI) per confermare se i risultati di una richiesta di nome di dominio sono stati ottenuti da una fonte autorizzata.
L'implementazione di DNSSEC non è solo la migliore pratica del settore, ma aiuta anche efficacemente a evitare la maggior parte degli attacchi al DNS.
Principio di funzionamento di DNSSEC
DNSSEC funziona in modo simile a TLS/HTTPS, utilizzando coppie di chiavi pubbliche e private per firmare digitalmente i record DNS. Panoramica generale del processo:
- I record DNS sono firmati da una coppia di chiavi private e pubbliche.
- Le risposte alle richieste DNSSEC contengono il record richiesto, insieme alla firma e alla chiave pubblica.
- Poi viene utilizzata per confrontare l'autenticità del record e della firma.
Sicurezza del DNS e DNSSEC
DNSSEC è uno strumento per verificare l'integrità delle richieste DNS. Non influisce sulla riservatezza del DNS. In altre parole, DNSSEC può darti la certezza che la risposta alla tua richiesta DNS non sia stata manomessa, ma chiunque può visualizzare questi risultati così come sono stati trasmessi a te.
DoT — DNS su TLS
Transport Layer Security (sicurezza del livello di trasporto, TLS) è un protocollo crittografico per proteggere le informazioni trasmesse su una connessione di rete. Una volta stabilita una connessione sicura TLS tra client e server, i dati trasmessi vengono crittografati e nessun intermediario può vederli.
è utilizzato più comunemente come parte di HTTPS (SSL) nel tuo browser web, poiché le richieste vengono inviate ai server HTTP protetti.
DNS-over-TLS (DNS su TLS, DoT) utilizza il protocollo TLS per crittografare il traffico UDP delle normali richieste DNS.
La crittografia di queste richieste in chiaro aiuta a proteggere gli utenti o le applicazioni che effettuano le richieste da vari attacchi.
- MitM, o "uomo nel mezzo": senza crittografia, un sistema intermedio tra il client e il server DNS autoritativo può potenzialmente inviare al client, in risposta a una richiesta, informazioni false o dannose.
- Spionaggio e monitoraggio: senza crittografia delle richieste, i sistemi intermedi possono facilmente visualizzare quali siti web sta visitando un determinato utente o applicazione. Anche se non è possibile dedurre la pagina specifica visitata su un sito solo da DNS, la semplice conoscenza dei domini richiesti è sufficiente per formare un profilo del sistema o di una persona.
Fonte:
DoH — DNS su HTTPS
DNS-over-HTTPS (DNS su HTTPS, DoH) è un protocollo sperimentale promosso congiuntamente da Mozilla e Google. I suoi obiettivi sono simili a quelli del protocollo DoT: migliorare la riservatezza degli utenti su Internet attraverso la crittografia delle richieste e delle risposte DNS.
Le richieste DNS standard vengono trasmesse tramite UDP. Le richieste e le risposte possono essere tracciate con strumenti come . DoT cripta queste richieste, ma continuano a essere identificate come traffico UDP piuttosto evidente sulla rete.
DoH utilizza un approccio diverso e invia richieste crittografate per la risoluzione dei nomi di nodi di rete tramite connessioni HTTPS, che in rete appaiono come qualsiasi altra richiesta web.
Questa differenza ha conseguenze molto importanti sia per gli amministratori di sistema che per il futuro della risoluzione dei nomi.
- Il filtraggio DNS è un modo comune per filtrare il traffico web al fine di proteggere gli utenti da attacchi di phishing, siti che diffondono malware o altre attività potenzialmente pericolose su una rete aziendale. Il protocollo DoH elude questi filtri, esponendo potenzialmente utenti e rete a un rischio maggiore.
- Nell'attuale modello di risoluzione dei nomi, ogni dispositivo nella rete riceve, in un modo o nell'altro, le richieste DNS dallo stesso luogo (dal server DNS specificato). DoH e, in particolare, la sua implementazione da parte di Firefox dimostrano che questo potrebbe cambiare in futuro. Ogni applicazione sul computer può ricevere dati da diverse fonti DNS, complicando notevolmente la diagnosi e la risoluzione dei problemi, nonché la sicurezza e la modellazione dei rischi.
Fonte:
Qual è la differenza tra DNS su TLS e DNS su HTTPS?
Iniziamo con DNS su TLS (DoT). Qui l'attenzione è sul fatto che il protocollo originale DNS non viene modificato, ma viene semplicemente trasmesso in modo sicuro su un canale protetto. DoH, invece, inserisce il DNS in un formato HTTP prima di eseguire le richieste.
Avvisi di monitoraggio DNS
La possibilità di monitorare efficacemente il traffico DNS nella tua rete per rilevare anomalie sospette è fondamentale per la rilevazione precoce delle violazioni. Utilizzare uno strumento come Varonis Edge ti permetterà di rimanere aggiornato su tutte le metriche importanti e di creare profili per ogni account nella tua rete. Puoi configurare la generazione di avvisi sulla base di una combinazione di azioni che si verificano in un determinato periodo di tempo.
Il monitoraggio delle modifiche DNS, delle posizioni degli account, nonché dei fatti legati al primo utilizzo e all'accesso ai dati riservati, così come delle attività al di fuori dell'orario lavorativo, sono solo alcuni degli indicatori che possono essere confrontati per fornire un quadro più ampio della rilevazione.
Fonte: habr.com
