{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"Minimizzazione dei rischi nell'uso di DNS-over-TLS (DoT) e DNS-over-HTTPS (DoH)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MinimizzazioneMinimizzazione dei rischi nell'utilizzo di DoH e DoT<\/p>\n

Protezione da DoH e DoT<\/h2>\n

Controlli il tuo traffico DNS? Le organizzazioni investono molto tempo, denaro e sforzi nella sicurezza delle proprie reti. Tuttavia, una delle aree che spesso non riceve l'adeguata attenzione \u00e8 il DNS. <\/p>\n

Una buona panoramica dei rischi legati al DNS \u00e8 la presentazione di Verisign<\/a><\/noindex> alla conferenza Infosecurity. <\/p>\n

\"MinimizzazioneIl 31% delle famiglie di ransomware esaminate ha utilizzato il DNS per lo scambio di chiavi. I risultati della ricerca<\/p>\n

Il 31% delle famiglie di ransomware esaminate ha utilizzato il DNS per lo scambio di chiavi.<\/p>\n

Il problema \u00e8 serio. Secondo il laboratorio di ricerca Palo Alto Networks Unit 42, circa l'85% del malware utilizza il DNS per stabilire canali di comando e controllo, consentendo agli attaccanti di inserire facilmente malware nella tua rete e rubare dati. Fin dalla sua creazione, il traffico DNS \u00e8 stato principalmente non crittografato ed \u00e8 stato facile da analizzare da parte dei meccanismi di sicurezza NGFW. <\/p>\n

\u041f\u043e\u044f\u0432\u0438\u043b\u0438\u0441\u044c \u043d\u043e\u0432\u044b\u0435 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u0434\u043b\u044f DNS, \u043d\u0430\u043f\u0440\u0430\u0432\u043b\u0435\u043d\u043d\u044b\u0435 \u043d\u0430 \u043f\u043e\u0432\u044b\u0448\u0435\u043d\u0438\u0435 \u043a\u043e\u043d\u0444\u0438\u0434\u0435\u043d\u0446\u0438\u0430\u043b\u044c\u043d\u043e\u0441\u0442\u0438 DNS \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u0439. \u041e\u043d\u0438 \u0430\u043a\u0442\u0438\u0432\u043d\u043e \u043f\u043e\u0434\u0434\u0435\u0440\u0436\u0438\u0432\u0430\u044e\u0442\u0441\u044f \u0432\u0435\u0434\u0443\u0449\u0438\u043c\u0438 \u043f\u043e\u0441\u0442\u0430\u0432\u0449\u0438\u043a\u0430\u043c\u0438 \u0431\u0440\u0430\u0443\u0437\u0435\u0440\u043e\u0432 \u0438 \u0434\u0440\u0443\u0433\u0438\u043c\u0438 \u043f\u043e\u0441\u0442\u0430\u0432\u0449\u0438\u043a\u0430\u043c\u0438 \u043f\u0440\u043e\u0433\u0440\u0430\u043c\u043c\u043d\u043e\u0433\u043e \u043e\u0431\u0435\u0441\u043f\u0435\u0447\u0435\u043d\u0438\u044f. \u0421\u043a\u043e\u0440\u043e \u0432 \u043a\u043e\u0440\u043f\u043e\u0440\u0430\u0442\u0438\u0432\u043d\u044b\u0445 \u0441\u0435\u0442\u044f\u0445 \u043d\u0430\u0447\u043d\u0435\u0442\u0441\u044f \u0440\u043e\u0441\u0442 \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e DNS-\u0442\u0440\u0430\u0444\u0438\u043a\u0430. \u0417\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u044b\u0439 \u0442\u0440\u0430\u0444\u0438\u043a DNS, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043d\u0435 \u0430\u043d\u0430\u043b\u0438\u0437\u0438\u0440\u0443\u0435\u0442\u0441\u044f \u0441\u0440\u0435\u0434\u0441\u0442\u0432\u0430\u043c\u0438 \u0434\u043e\u043b\u0436\u043d\u044b\u043c \u043e\u0431\u0440\u0430\u0437\u043e\u043c \u0438 \u0440\u0430\u0437\u0440\u0435\u0448\u0435\u043d, \u043f\u0440\u0435\u0434\u0441\u0442\u0430\u0432\u043b\u044f\u0435\u0442 \u0443\u0433\u0440\u043e\u0437\u0443 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u043e\u0441\u0442\u0438 \u0434\u043b\u044f \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438. \u041d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0442\u0430\u043a\u043e\u0439 \u0443\u0433\u0440\u043e\u0437\u043e\u0439 \u044f\u0432\u043b\u044f\u044e\u0442\u0441\u044f \u043a\u0440\u0438\u043f\u0442\u043e\u043b\u043e\u043a\u0435\u0440\u044b, \u043a\u043e\u0442\u043e\u0440\u044b\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 DNS \u0434\u043b\u044f \u043e\u0431\u043c\u0435\u043d\u0430 \u043a\u043b\u044e\u0447\u0430\u043c\u0438 \u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u0438\u044f. \u0410\u0442\u0430\u043a\u0443\u044e\u0449\u0438\u0435 \u0441\u0435\u0439\u0447\u0430\u0441 \u0442\u0440\u0435\u0431\u0443\u044e\u0442 \u0432\u044b\u043a\u0443\u043f \u0432 \u043d\u0435\u0441\u043a\u043e\u043b\u044c\u043a\u043e \u043c\u0438\u043b\u043b\u0438\u043e\u043d\u043e\u0432 \u0434\u043e\u043b\u043b\u0430\u0440\u043e\u0432 \u0437\u0430 \u0432\u043e\u0441\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u0435 \u0434\u043e\u0441\u0442\u0443\u043f\u0430 \u043a \u0432\u0430\u0448\u0438\u043c \u0434\u0430\u043d\u043d\u044b\u043c. \u0412 \u043a\u043e\u043c\u043f\u0430\u043d\u0438\u0438 Garmin, \u043d\u0430\u043f\u0440\u0438\u043c\u0435\u0440, \u0437\u0430\u043f\u043b\u0430\u0442\u0438\u043b\u0438 10 \u043c\u0438\u043b\u043b\u0438\u043e\u043d\u043e\u0432 \u0434\u043e\u043b\u043b\u0430\u0440\u043e\u0432.<\/p>\n

Con la corretta configurazione, i NGFW possono vietare o proteggere l'uso del DNS-over-TLS (DoT) e possono essere utilizzati per vietare l'uso del DNS-over-HTTPS (DoH), consentendo di analizzare tutto il traffico DNS nella tua rete.<\/p>\n

Che cos'\u00e8 il DNS crittografato?<\/h2>\n

Che cos'\u00e8 il DNS<\/p>\n

Il sistema dei nomi di dominio (DNS) traduce i nomi di dominio in formato leggibile per le persone (ad esempio, l'indirizzo www.paloaltonetworks.com<\/a><\/noindex> ) in indirizzi IP (ad esempio, 34.107.151.202). Quando un utente inserisce un nome di dominio nel browser web, il browser invia una richiesta DNS a un server DNS chiedendo l'indirizzo IP associato a quel nome di dominio. In risposta, il server DNS restituisce l'indirizzo IP che sar\u00e0 utilizzato da questo browser.<\/p>\n

Le richieste e le risposte DNS vengono trasmesse in rete come testo in chiaro e non crittografato, il che le rende vulnerabili a spionaggi o modifiche della risposta, reindirizzando il browser a server dannosi. La crittografia DNS complica il tracciamento delle richieste DNS o le modifiche durante la trasmissione. La crittografia delle richieste e risposta DNS ti protegge da attacchi Man-in-the-Middle, eseguendo comunque le stesse funzioni del tradizionale protocollo DNS (sistema dei nomi di dominio) in chiaro. <\/p>\n

Negli ultimi anni sono stati implementati due protocolli di crittografia DNS:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    \u042d\u0442\u0438 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u0438\u043c\u0435\u044e\u0442 \u043e\u0434\u043d\u0443 \u043e\u0431\u0449\u0443\u044e \u0447\u0435\u0440\u0442\u0443: \u043d\u0430\u043c\u0435\u0440\u0435\u043d\u043d\u043e \u043f\u0440\u044f\u0447\u0443\u0442 DNS-\u0437\u0430\u043f\u0440\u043e\u0441\u044b \u043e\u0442 \u043b\u044e\u0431\u043e\u0433\u043e \u043f\u0435\u0440\u0435\u0445\u0432\u0430\u0442\u0430… \u0438 \u043e\u0442 \u0431\u0435\u0437\u043e\u043f\u0430\u0441\u043d\u0438\u043a\u043e\u0432 \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u0438 \u0432 \u0442\u043e\u043c \u0447\u0438\u0441\u043b\u0435. \u041f\u0440\u043e\u0442\u043e\u043a\u043e\u043b\u044b \u0432 \u043e\u0441\u043d\u043e\u0432\u043d\u043e\u043c \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u044e\u0442 \u043f\u0440\u043e\u0442\u043e\u043a\u043e\u043b TLS (Transport Layer Security) \u0434\u043b\u044f \u0443\u0441\u0442\u0430\u043d\u043e\u0432\u043b\u0435\u043d\u0438\u044f \u0437\u0430\u0448\u0438\u0444\u0440\u043e\u0432\u0430\u043d\u043d\u043e\u0433\u043e \u0441\u043e\u0435\u0434\u0438\u043d\u0435\u043d\u0438\u044f \u043c\u0435\u0436\u0434\u0443 \u043a\u043b\u0438\u0435\u043d\u0442\u043e\u043c, \u0432\u044b\u043f\u043e\u043b\u043d\u044f\u044e\u0449\u0438\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u044b, \u0438 \u0441\u0435\u0440\u0432\u0435\u0440\u043e\u043c, \u0440\u0430\u0437\u0440\u0435\u0448\u0430\u044e\u0449\u0438\u043c \u0437\u0430\u043f\u0440\u043e\u0441\u044b DNS, \u0447\u0435\u0440\u0435\u0437 \u043f\u043e\u0440\u0442, \u043a\u043e\u0442\u043e\u0440\u044b\u0439 \u043e\u0431\u044b\u0447\u043d\u043e \u043d\u0435 \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u0443\u0435\u0442\u0441\u044f \u0434\u043b\u044f \u0442\u0440\u0430\u0444\u0438\u043a\u0430 DNS.<\/p>\n

    La riservatezza delle richieste DNS \u00e8 un grande vantaggio di questi protocolli. Tuttavia, creano problemi ai responsabili della sicurezza che devono monitorare il traffico di rete e individuare e bloccare connessioni dannose. Poich\u00e9 i protocolli variano nella loro implementazione, anche i metodi di analisi differiscono tra DoH e DoT.<\/p>\n

    DNS over HTTPS (DoH)<\/h2>\n

    \"MinimizzazioneDNS all'interno di HTTPS<\/p>\n

    DoH utilizza la porta 443, ben nota, per l'HTTPS, per la quale l'RFC specifica chiaramente che l'obiettivo \u00e8 \"mescolare il traffico DoH con altro traffico HTTPS nella stessa connessione\", \"rendere difficile l'analisi del traffico DNS\" e, in questo modo, eludere le misure di controllo aziendale ( RFC 8484 DoH, sezione 8.1<\/a><\/noindex> ). Il protocollo DoH utilizza la crittografia TLS e la sintassi delle richieste fornita dai normali standard HTTPS e HTTP\/2, aggiungendo richieste e risposte DNS sopra le normali richieste HTTP.<\/p>\n

    Rischi associati a DoH<\/h2>\n

    Se non riesci a distinguere il traffico HTTPS normale dalle richieste DoH, le applicazioni all'interno della tua organizzazione potrebbero (e lo faranno) bypassare le impostazioni DNS locali, reindirizzando le richieste a server esterni che rispondono alle richieste DoH, il che elude qualsiasi monitoraggio, distruggendo la possibilit\u00e0 di controllare il traffico DNS. Idealmente, dovresti controllare DoH utilizzando le funzionalit\u00e0 di decrittazione HTTPS. <\/p>\n

    E Google e Mozilla hanno implementato le funzionalit\u00e0 DoH<\/a><\/noindex> nell'ultima versione dei loro browser, e entrambe le aziende stanno lavorando per utilizzare DoH come impostazione predefinita per tutte le richieste DNS. Microsoft sta anche sviluppando piani<\/a><\/noindex> per integrare DoH nei propri sistemi operativi. Uno svantaggio \u00e8 che non solo le rispettabili aziende di software, ma anche i malintenzionati hanno iniziato a utilizzare DoH come mezzo per eludere le tradizionali misure di firewall aziendale. ( Ad esempio, consulta i seguenti articoli: PsiXBot ora utilizza Google DoH<\/a><\/noindex> , PsiXBot continua a evolversi con una nuova infrastruttura DNS<\/a><\/noindex> e analisi del backdoor Godlua<\/a><\/noindex> .) In ogni caso, sia il traffico buono che quello malevolo DoH rimarr\u00e0 inosservato, lasciando l'organizzazione cieca all'uso malevolo di DoH come canale per la gestione del malware (C2) e il furto di dati riservati.<\/p>\n

    Garantire visibilit\u00e0 e controllo sul traffico DoH<\/h2>\n

    Come miglior soluzione per il controllo di DoH, consigliamo di configurare nel NGFW la decrittazione del traffico HTTPS e il blocco del traffico DoH (nome dell'applicazione: dns-over-https). <\/p>\n

    Innanzitutto, assicurati che il NGFW sia configurato per la decrittazione di HTTPS, secondo le linee guida sulle migliori pratiche di decrittazione<\/a><\/noindex>.<\/p>\n

    In secondo luogo, crea una regola per il traffico dell'applicazione 'dns-over-https', come indicato di seguito:<\/p>\n

    \"MinimizzazioneRegola Palo Alto Networks NGFW per bloccare DNS-over-HTTPS<\/p>\n

    Come alternativa intermedia (se la tua organizzazione non ha completamente implementato la decrittazione dell'HTTPS), il NGFW pu\u00f2 essere configurato per applicare l'azione 'vietare' all'identificatore dell'applicazione 'dns-over-https', ma l'effetto sar\u00e0 limitato al blocco di alcuni noti server DoH per nome di dominio, poich\u00e9 senza la decrittazione dell'HTTPS, il traffico DoH non pu\u00f2 essere completamente verificato (vedi  Applipedia di Palo Alto Networks<\/a><\/noindex>   e cerca la frase 'dns-over-https').<\/p>\n

    DNS over TLS (DoT)<\/h2>\n

    \"MinimizzazioneDNS all'interno di TLS<\/p>\n

    Mentre il protocollo DoH cerca di confondersi con altro traffico sulla stessa porta, il DoT utilizza invece di default una porta speciale riservata a questo scopo, vietando anche specificamente l'uso della stessa porta per il traffico DNS tradizionale non crittografato ( RFC 7858, Sezione 3.1<\/a><\/noindex> ).<\/p>\n

    Il protocollo DoT utilizza il protocollo TLS per garantire la crittografia, incapsulando le richieste standard del protocollo DNS, con il traffico che utilizza la ben nota porta 853 ( RFC 7858, sezione 6<\/a><\/noindex> ).  \u041f\u0440\u043e\u0442\u043e\u043a\u043e\u043b DoT \u0431\u044b\u043b \u0440\u0430\u0437\u0440\u0430\u0431\u043e\u0442\u0430\u043d, \u0447\u0442\u043e\u0431\u044b \u0443\u043f\u0440\u043e\u0441\u0442\u0438\u0442\u044c \u043e\u0440\u0433\u0430\u043d\u0438\u0437\u0430\u0446\u0438\u044f\u043c \u0431\u043b\u043e\u043a\u0438\u0440\u043e\u0432\u0430\u0442\u044c \u0442\u0440\u0430\u0444\u0438\u043a \u043f\u043e \u043f\u043e\u0440\u0442\u0443, \u043b\u0438\u0431\u043e \u0441\u043e\u0433\u043b\u0430\u0448\u0430\u0442\u044c\u0441\u044f \u043d\u0430 \u0435\u0433\u043e \u0438\u0441\u043f\u043e\u043b\u044c\u0437\u043e\u0432\u0430\u043d\u0438\u0435, \u043d\u043e \u0432\u043a\u043b\u044e\u0447\u0438\u0442\u044c \u0440\u0430\u0441\u0448\u0438\u0444\u0440\u043e\u0432\u043a\u0443 \u043d\u0430 \u044d\u0442\u043e\u043c \u043f\u043e\u0440\u0442\u0443.<\/p>\n

    Rischi associati al DoT<\/h2>\n

    Google ha implementato il DoT nel proprio client Android 9 Pie e versioni successive<\/a><\/noindex> , con l'impostazione per l'uso automatico del DoT attivata di default, se disponibile. Se hai valutato i rischi e sei pronto a utilizzare il DoT a livello organizzativo, \u00e8 necessario che gli amministratori di rete consentano esplicitamente il traffico in uscita sulla porta 853 attraverso il proprio perimetro per questo nuovo protocollo.<\/p>\n

    Garantire visibilit\u00e0 e controllo sul traffico DoT<\/h2>\n

    Come migliore pratica per il controllo del DoT, raccomandiamo una delle seguenti procedure, in base ai requisiti della tua organizzazione:<\/p>\n