DNS-over-TLS (DoT) आणि DNS-over-HTTPS (DoH) वापरण्याचे धोके कमी करणे

DoH आणि DoT वापरण्याचे धोके कमी करणे

DoH आणि DoT संरक्षण

तुम्ही तुमची DNS रहदारी नियंत्रित करता का? संस्था त्यांचे नेटवर्क सुरक्षित करण्यासाठी बराच वेळ, पैसा आणि मेहनत गुंतवतात. तथापि, एक क्षेत्र ज्याकडे सहसा पुरेसे लक्ष दिले जात नाही ते म्हणजे DNS.

DNS आणत असलेल्या जोखमींचे एक चांगले विहंगावलोकन आहे व्हेरिसाइन सादरीकरण इन्फोसेक्युरिटी कॉन्फरन्समध्ये.

सर्वेक्षण केलेल्या 31% रॅन्समवेअर वर्गांनी की एक्सचेंजसाठी DNS वापरले. अभ्यासाचे निष्कर्ष

सर्वेक्षण केलेल्या 31% रॅन्समवेअर वर्गांनी की एक्सचेंजसाठी DNS वापरले.

समस्या गंभीर आहे. पालो अल्टो नेटवर्क्स युनिट 42 संशोधन प्रयोगशाळेनुसार, सुमारे 85% मालवेअर कमांड आणि कंट्रोल चॅनेल स्थापित करण्यासाठी DNS वापरतात, ज्यामुळे आक्रमणकर्त्यांना तुमच्या नेटवर्कमध्ये मालवेअर सहजपणे इंजेक्ट करता येते तसेच डेटा चोरता येतो. त्याच्या स्थापनेपासून, DNS ट्रॅफिक मोठ्या प्रमाणात एनक्रिप्ट केलेले नाही आणि NGFW सुरक्षा यंत्रणेद्वारे सहजपणे विश्लेषण केले जाऊ शकते. 

DNS कनेक्शनची गोपनीयता वाढवण्याच्या उद्देशाने DNS साठी नवीन प्रोटोकॉल उदयास आले आहेत. अग्रगण्य ब्राउझर विक्रेते आणि इतर सॉफ्टवेअर विक्रेत्यांकडून ते सक्रियपणे समर्थित आहेत. एनक्रिप्टेड DNS रहदारी लवकरच कॉर्पोरेट नेटवर्कमध्ये वाढण्यास सुरुवात होईल. एनक्रिप्टेड DNS ट्रॅफिक ज्याचे योग्यरित्या विश्लेषण केले गेले नाही आणि साधनांद्वारे निराकरण केले गेले नाही ते कंपनीसाठी सुरक्षिततेला धोका निर्माण करते. उदाहरणार्थ, असा धोका म्हणजे क्रिप्टोलॉकर जे एन्क्रिप्शन की एक्सचेंज करण्यासाठी DNS वापरतात. हल्लेखोर आता तुमच्या डेटामध्ये प्रवेश पुनर्संचयित करण्यासाठी अनेक दशलक्ष डॉलर्सची खंडणी मागत आहेत. उदाहरणार्थ, गार्मिनने $10 दशलक्ष दिले.

योग्यरित्या कॉन्फिगर केल्यावर, NGFWs DNS-over-TLS (DoT) चा वापर नाकारू शकतात किंवा संरक्षित करू शकतात आणि DNS-over-HTTPS (DoH) चा वापर नाकारण्यासाठी वापरला जाऊ शकतो, ज्यामुळे तुमच्या नेटवर्कवरील सर्व DNS रहदारीचे विश्लेषण केले जाऊ शकते.

एनक्रिप्टेड DNS म्हणजे काय?

DNS म्हणजे काय

डोमेन नेम सिस्टम (DNS) मानवी वाचनीय डोमेन नावांचे निराकरण करते (उदाहरणार्थ, पत्ता www.paloaltonetworks.com ) ते IP पत्ते (उदाहरणार्थ, 34.107.151.202). जेव्हा वापरकर्ता वेब ब्राउझरमध्ये डोमेन नाव प्रविष्ट करतो, तेव्हा ब्राउझर DNS सर्व्हरला DNS क्वेरी पाठवतो, त्या डोमेन नावाशी संबंधित IP पत्ता विचारतो. प्रतिसादात, DNS सर्व्हर हा ब्राउझर वापरेल तो IP पत्ता परत करतो.

DNS क्वेरी आणि प्रतिसाद संपूर्ण नेटवर्कवर साध्या मजकुरात पाठवले जातात, कूटबद्ध न केलेले, ते हेरगिरी किंवा प्रतिसाद बदलण्यासाठी आणि ब्राउझरला दुर्भावनापूर्ण सर्व्हरवर पुनर्निर्देशित करण्यासाठी असुरक्षित बनवतात. DNS एन्क्रिप्शनमुळे DNS विनंत्यांना ट्रॅक करणे किंवा ट्रान्समिशन दरम्यान बदलणे कठीण होते. पारंपारिक प्लेनटेक्स्ट DNS (डोमेन नेम सिस्टीम) प्रोटोकॉल सारखीच कार्यक्षमता पार पाडताना DNS विनंत्या आणि प्रतिसाद एन्क्रिप्ट केल्याने तुम्हाला मॅन-इन-द-मिडल हल्ल्यांपासून संरक्षण मिळते. 

गेल्या काही वर्षांत, दोन DNS एन्क्रिप्शन प्रोटोकॉल सादर केले गेले आहेत:

1. DNS-over-HTTPS (DoH)

2. DNS-over-TLS (DoT)

या प्रोटोकॉलमध्ये एक गोष्ट सामाईक आहे: ते कोणत्याही व्यत्ययापासून आणि संस्थेच्या सुरक्षा रक्षकांकडून जाणूनबुजून DNS विनंत्या लपवतात. प्रोटोकॉल प्रामुख्याने TLS (ट्रान्सपोर्ट लेयर सिक्युरिटी) वापरतात जे क्लायंट क्वेरी बनवणारे आणि सामान्यतः DNS ट्रॅफिकसाठी वापरल्या जात नसलेल्या पोर्टवर DNS प्रश्नांचे निराकरण करणारे सर्व्हर यांच्यात एनक्रिप्टेड कनेक्शन स्थापित करतात.

DNS प्रश्नांची गोपनीयता हे या प्रोटोकॉलचे एक मोठे प्लस आहे. तथापि, ते सुरक्षा रक्षकांसाठी समस्या निर्माण करतात ज्यांनी नेटवर्क रहदारीचे निरीक्षण केले पाहिजे आणि दुर्भावनापूर्ण कनेक्शन शोधणे आणि अवरोधित करणे आवश्यक आहे. प्रोटोकॉल त्यांच्या अंमलबजावणीमध्ये भिन्न असल्यामुळे, विश्लेषण पद्धती DoH आणि DoT मध्ये भिन्न असतील.

HTTPS (DoH) वर DNS

HTTPS मध्ये DNS

DoH HTTPS साठी सुप्रसिद्ध पोर्ट 443 वापरते, ज्यासाठी RFC विशेषत: "DoH ट्रॅफिकला त्याच कनेक्शनवरील इतर HTTPS ट्रॅफिकमध्ये मिसळणे", "DNS ट्रॅफिकचे विश्लेषण करणे कठीण बनवणे" आणि अशा प्रकारे कॉर्पोरेट नियंत्रणे टाळण्याचा हेतू असल्याचे नमूद करते. ( RFC 8484 DoH विभाग 8.1 ). DoH प्रोटोकॉल सामान्य HTTPS आणि HTTP/2 मानकांद्वारे प्रदान केलेले TLS एन्क्रिप्शन आणि विनंती वाक्यरचना वापरते, मानक HTTP विनंत्यांच्या शीर्षस्थानी DNS विनंत्या आणि प्रतिसाद जोडतात.

DoH शी संबंधित जोखीम

जर तुम्ही DoH विनंत्यांमधून नियमित HTTPS रहदारी वेगळे करू शकत नसाल, तर तुमच्या संस्थेतील अॅप्लिकेशन्स स्थानिक DNS सेटिंग्ज बायपास करू शकतात (आणि करतील) DoH विनंत्यांना प्रतिसाद देणाऱ्या तृतीय-पक्ष सर्व्हरकडे विनंत्या पुनर्निर्देशित करून, जे कोणत्याही मॉनिटरिंगला बायपास करते, म्हणजेच, करण्याची क्षमता नष्ट करते. DNS रहदारी नियंत्रित करा. आदर्शपणे, तुम्ही HTTPS डिक्रिप्शन फंक्शन्स वापरून DoH नियंत्रित केले पाहिजे. 

И Google आणि Mozilla ने DoH क्षमता लागू केल्या आहेत त्यांच्या ब्राउझरच्या नवीनतम आवृत्तीमध्ये, आणि दोन्ही कंपन्या सर्व DNS विनंत्यांसाठी डीफॉल्टनुसार DoH वापरण्यासाठी काम करत आहेत. मायक्रोसॉफ्ट देखील योजना विकसित करत आहे DoH त्यांच्या ऑपरेटिंग सिस्टीममध्ये समाकलित करण्यावर. नकारात्मक बाजू अशी आहे की केवळ प्रतिष्ठित सॉफ्टवेअर कंपन्याच नाही तर हल्लेखोरांनी देखील पारंपारिक कॉर्पोरेट फायरवॉल उपायांना मागे टाकण्याचे साधन म्हणून DoH वापरण्यास सुरुवात केली आहे. (उदाहरणार्थ, खालील लेखांचे पुनरावलोकन करा: PsiXBot आता Google DoH वापरते , PsiXBot अद्यतनित DNS पायाभूत सुविधांसह विकसित होत आहे и गोडलुआ बॅकडोअर विश्लेषण .) दोन्ही बाबतीत, दोन्ही चांगल्या आणि दुर्भावनापूर्ण DoH ट्रॅफिकचा शोध घेतला जाणार नाही, ज्यामुळे मालवेअर (C2) नियंत्रित करण्यासाठी आणि संवेदनशील डेटा चोरण्यासाठी कंड्युट म्हणून DoH चा दुर्भावनापूर्ण वापर करण्याकडे संस्था आंधळी राहील.

DoH रहदारीची दृश्यमानता आणि नियंत्रण सुनिश्चित करणे

DoH नियंत्रणासाठी सर्वोत्तम उपाय म्हणून, आम्ही HTTPS ट्रॅफिक डिक्रिप्ट करण्यासाठी आणि DoH ट्रॅफिक (अॅप्लिकेशनचे नाव: dns-over-https) ब्लॉक करण्यासाठी NGFW कॉन्फिगर करण्याची शिफारस करतो. 

प्रथम, NGFW हे HTTPS डिक्रिप्ट करण्यासाठी कॉन्फिगर केले असल्याची खात्री करा, त्यानुसार सर्वोत्तम डिक्रिप्शन तंत्रांसाठी मार्गदर्शक.

दुसरे, खाली दर्शविल्याप्रमाणे ऍप्लिकेशन ट्रॅफिक "dns-over-https" साठी एक नियम तयार करा:

Palo Alto Networks NGFW नियम DNS-over-HTTPS ब्लॉक करण्यासाठी

अंतरिम पर्याय म्हणून (जर तुमच्या संस्थेने HTTPS डिक्रिप्शन पूर्णपणे लागू केले नसेल तर), NGFW ला "dns-over-https" ऍप्लिकेशन आयडीवर "नकार" क्रिया लागू करण्यासाठी कॉन्फिगर केले जाऊ शकते, परंतु प्रभाव काही चांगल्या-ब्लॉक करण्यापुरता मर्यादित असेल. DoH सर्व्हरला त्यांच्या डोमेन नावाने ओळखले जाते, त्यामुळे HTTPS डिक्रिप्शनशिवाय DoH रहदारीची पूर्णपणे तपासणी कशी करता येत नाही (पहा  Palo Alto Networks कडून Applipedia   आणि "dns-over-https" शोधा).

TLS (DoT) वर DNS

TLS मध्ये DNS

DoH प्रोटोकॉल त्याच पोर्टवरील इतर ट्रॅफिकमध्ये मिसळण्याकडे झुकत असताना, DoT त्याऐवजी त्या एकमेव उद्देशासाठी आरक्षित केलेले विशेष पोर्ट वापरण्यास डीफॉल्ट करते, अगदी त्याच पोर्टचा वापर पारंपारिक अनएनक्रिप्टेड DNS ट्रॅफिक ( RFC 7858, कलम 3.1 ).

डीओटी प्रोटोकॉल एनक्रिप्शन प्रदान करण्यासाठी TLS वापरतो जे सुप्रसिद्ध पोर्ट 853 ( RFC 7858 विभाग 6 ). डीओटी प्रोटोकॉल संस्थांना बंदरावरील रहदारी अवरोधित करणे किंवा रहदारी स्वीकारणे परंतु त्या पोर्टवर डिक्रिप्शन सक्षम करणे सोपे करण्यासाठी डिझाइन केले होते.

DoT शी संबंधित जोखीम

Google ने आपल्या क्लायंटमध्ये DoT लागू केले आहे Android 9 Pie आणि नंतरचे , उपलब्ध असल्यास स्वयंचलितपणे DoT वापरण्यासाठी डीफॉल्ट सेटिंगसह. जर तुम्ही जोखमीचे मूल्यांकन केले असेल आणि संघटनात्मक स्तरावर DoT वापरण्यास तयार असाल, तर तुमच्याकडे नेटवर्क प्रशासकांनी या नवीन प्रोटोकॉलसाठी त्यांच्या परिमितीद्वारे पोर्ट 853 वर आउटबाउंड रहदारीला स्पष्टपणे परवानगी देणे आवश्यक आहे.

DoT रहदारीची दृश्यमानता आणि नियंत्रण सुनिश्चित करणे

DoT नियंत्रणासाठी सर्वोत्तम सराव म्हणून, आम्ही तुमच्या संस्थेच्या आवश्यकतांवर आधारित, वरीलपैकी कोणतीही शिफारस करतो:

• गंतव्य पोर्ट 853 साठी सर्व ट्रॅफिक डिक्रिप्ट करण्यासाठी NGFW कॉन्फिगर करा. ट्रॅफिक डिक्रिप्ट केल्याने, DoT एक DNS ऍप्लिकेशन म्हणून दिसेल ज्यावर तुम्ही कोणतीही क्रिया लागू करू शकता, जसे की सदस्यता सक्षम करा पालो अल्टो नेटवर्क DNS सुरक्षा DGA डोमेन किंवा विद्यमान डोमेन नियंत्रित करण्यासाठी DNS सिंकहोलिंग आणि अँटी स्पायवेअर.

• अॅप-आयडी इंजिनने पोर्ट 853 वर 'dns-over-tls' रहदारी पूर्णपणे अवरोधित करणे हा एक पर्याय आहे. हे सहसा डीफॉल्टनुसार अवरोधित केले जाते, कोणत्याही कारवाईची आवश्यकता नाही (जोपर्यंत तुम्ही 'dns-over-tls' अनुप्रयोग किंवा पोर्ट रहदारीला विशेषत: परवानगी देत ​​नाही तोपर्यंत ८५३).

स्त्रोत: www.habr.com