{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pt\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"Minimizando os riscos ao usar DNS-over-TLS (DoT) e DNS-over-HTTPS (DoH)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MinimizandoMinimiza\u00e7\u00e3o dos riscos do uso de DoH e DoT<\/p>\n

Prote\u00e7\u00e3o contra DoH e DoT<\/h2>\n

Voc\u00ea controla seu tr\u00e1fego DNS? Organiza\u00e7\u00f5es investem muito tempo, dinheiro e esfor\u00e7o na seguran\u00e7a de suas redes. No entanto, uma \u00e1rea que muitas vezes n\u00e3o recebe a devida aten\u00e7\u00e3o \u00e9 o DNS. <\/p>\n

Uma boa vis\u00e3o geral dos riscos associados ao DNS \u00e9 a apresenta\u00e7\u00e3o da Verisign<\/a><\/noindex> na confer\u00eancia Infosecurity. <\/p>\n

\"Minimizando31% das classes de malware pesquisadas utilizaram DNS para troca de chaves. Resultados do estudo<\/p>\n

31% das classes de malware pesquisadas utilizaram DNS para troca de chaves.<\/p>\n

O problema \u00e9 s\u00e9rio. De acordo com o laborat\u00f3rio de pesquisa Palo Alto Networks Unit 42, aproximadamente 85% dos malwares utilizam DNS para estabelecer um canal de comando e controle, permitindo que invasores implantem malwares facilmente em sua rede, al\u00e9m de roubar dados. Desde a sua cria\u00e7\u00e3o, o tr\u00e1fego DNS foi predominantemente n\u00e3o criptografado e facilmente analis\u00e1vel por mecanismos de seguran\u00e7a NGFW. <\/p>\n

Novos protocolos de DNS surgiram, visando aumentar a privacidade das conex\u00f5es DNS. Eles s\u00e3o ativamente apoiados pelos principais fornecedores de navegadores e outros fornecedores de software. Em breve, haver\u00e1 um aumento do tr\u00e1fego DNS criptografado nas redes corporativas. O tr\u00e1fego DNS criptografado, que n\u00e3o \u00e9 devidamente analisado e permitido, representa uma amea\u00e7a \u00e0 seguran\u00e7a da empresa. Por exemplo, uma dessas amea\u00e7as s\u00e3o os ransomwares, que utilizam DNS para troca de chaves de criptografia. Os atacantes atualmente exigem resgates de v\u00e1rios milh\u00f5es de d\u00f3lares para restaurar o acesso aos seus dados. Na empresa Garmin, por exemplo, pagaram 10 milh\u00f5es de d\u00f3lares.<\/p>\n

Com a configura\u00e7\u00e3o correta, os NGFW podem proibir ou proteger o uso de DNS-over-TLS (DoT) e podem ser usados para proibir o uso de DNS-over-HTTPS (DoH), permitindo a an\u00e1lise de todo o tr\u00e1fego DNS em sua rede.<\/p>\n

O que \u00e9 DNS criptografado?<\/h2>\n

O que \u00e9 DNS<\/p>\n

O Sistema de Nomes de Dom\u00ednio (DNS) converte nomes de dom\u00ednio leg\u00edveis por humanos (por exemplo, o endere\u00e7o www.paloaltonetworks.com<\/a><\/noindex> ) para endere\u00e7os IP (por exemplo, 34.107.151.202). Quando um usu\u00e1rio digita um nome de dom\u00ednio em um navegador da web, o navegador envia uma solicita\u00e7\u00e3o DNS para um servidor DNS, pedindo o endere\u00e7o IP associado a esse nome de dom\u00ednio. Em resposta, o servidor DNS retorna o endere\u00e7o IP que ser\u00e1 usado pelo navegador.<\/p>\n

As solicita\u00e7\u00f5es e respostas DNS s\u00e3o transmitidas pela rede em texto simples n\u00e3o criptografado, o que as torna vulner\u00e1veis a espionagem ou altera\u00e7\u00e3o de resposta e redirecionamento do navegador para servidores maliciosos. A criptografia DNS dificulta o rastreamento das solicita\u00e7\u00f5es DNS ou sua altera\u00e7\u00e3o durante a transmiss\u00e3o. A criptografia das solicita\u00e7\u00f5es e respostas DNS protege voc\u00ea contra ataques do tipo Man-in-the-Middle, mantendo as mesmas fun\u00e7\u00f5es do protocolo DNS tradicional (sistema de nomes de dom\u00ednio) em texto claro. <\/p>\n

Nos \u00faltimos anos, foram implementados dois protocolos de criptografia DNS:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Esses protocolos t\u00eam uma caracter\u00edstica comum: ocultam intencionalmente os pedidos de DNS de qualquer intercepta\u00e7\u00e3o\u2026 inclusive dos seguran\u00e7as da organiza\u00e7\u00e3o. Os protocolos utilizam principalmente o protocolo TLS (Transport Layer Security) para estabelecer uma conex\u00e3o criptografada entre o cliente que faz os pedidos e o servidor que resolve os pedidos DNS, atrav\u00e9s de uma porta que normalmente n\u00e3o \u00e9 usada para tr\u00e1fego DNS.<\/p>\n

    A privacidade das solicita\u00e7\u00f5es DNS \u00e9 uma grande vantagem desses protocolos. No entanto, eles criam problemas para os profissionais de seguran\u00e7a que precisam monitorar o tr\u00e1fego de rede e detectar e bloquear conex\u00f5es maliciosas. Como os protocolos diferem em sua implementa\u00e7\u00e3o, os m\u00e9todos de an\u00e1lise tamb\u00e9m variar\u00e3o entre DoH e DoT.<\/p>\n

    DNS over HTTPS (DoH)<\/h2>\n

    \"MinimizandoDNS dentro de HTTPS<\/p>\n

    DoH utiliza a porta 443 bem conhecida para HTTPS, para a qual o RFC especifica claramente que a tarefa \u00e9 \"misturar o tr\u00e1fego DoH com o outro tr\u00e1fego HTTPS na mesma conex\u00e3o\", \"dificultar a an\u00e1lise do tr\u00e1fego DNS\" e, assim, contornar medidas de controle corporativo ( RFC 8484 DoH, se\u00e7\u00e3o 8.1<\/a><\/noindex> ). O protocolo DoH utiliza criptografia TLS e a sintaxe das solicita\u00e7\u00f5es fornecida pelos padr\u00f5es comuns de HTTPS e HTTP\/2, adicionando solicita\u00e7\u00f5es e respostas DNS acima das solicita\u00e7\u00f5es HTTP padr\u00e3o.<\/p>\n

    Riscos associados ao DoH<\/h2>\n

    Se voc\u00ea n\u00e3o consegue diferenciar o tr\u00e1fego HTTPS comum das solicita\u00e7\u00f5es DoH, os aplicativos dentro da sua organiza\u00e7\u00e3o podem (e ir\u00e3o) contornar as configura\u00e7\u00f5es locais de DNS, redirecionando as solicita\u00e7\u00f5es para servidores externos que respondem a solicita\u00e7\u00f5es DoH, o que elude qualquer monitoramento, ou seja, destr\u00f3i a capacidade de controle sobre o tr\u00e1fego DNS. Idealmente, voc\u00ea deve controlar o DoH usando recursos de descriptografia de HTTPS. <\/p>\n

    eu posso usar O Google e a Mozilla implementaram recursos de DoH<\/a><\/noindex> na \u00faltima vers\u00e3o de seus navegadores, e ambas as empresas est\u00e3o trabalhando para usar o DoH como padr\u00e3o para todas as solicita\u00e7\u00f5es DNS. A Microsoft tamb\u00e9m est\u00e1 desenvolvendo planos<\/a><\/noindex> para integrar o DoH em seus sistemas operacionais. Um ponto negativo \u00e9 que n\u00e3o apenas empresas respeit\u00e1veis de software, mas tamb\u00e9m invasores come\u00e7aram a usar o DoH como meio de contornar medidas tradicionais de firewall corporativo. (Por exemplo, veja os seguintes artigos: PsiXBot agora usa Google DoH<\/a><\/noindex> , PsiXBot continua se desenvolvendo com uma infraestrutura de DNS atualizada<\/a><\/noindex> e an\u00e1lise do backdoor Godlua<\/a><\/noindex> .) De qualquer forma, tanto o tr\u00e1fego DoH leg\u00edtimo quanto o malicioso permanecer\u00e3o invis\u00edveis, deixando a organiza\u00e7\u00e3o cega para o uso malicioso do DoH como um canal para controle de malware (C2) e roubo de dados confidenciais.<\/p>\n

    Garantindo visibilidade e controle sobre o tr\u00e1fego DoH<\/h2>\n

    Como a melhor solu\u00e7\u00e3o para controlar o DoH, recomendamos configurar a descriptografia de tr\u00e1fego HTTPS no NGFW e bloquear o tr\u00e1fego DoH (nome do aplicativo: dns-over-https). <\/p>\n

    Primeiro, certifique-se de que o NGFW est\u00e1 configurado para descriptografar HTTPS, de acordo com o guia de melhores pr\u00e1ticas para descriptografia<\/a><\/noindex>.<\/p>\n

    Em segundo lugar, crie uma regra para o tr\u00e1fego do aplicativo 'dns-over-https', conforme mostrado abaixo:<\/p>\n

    \"MinimizandoRegra do Palo Alto Networks NGFW para bloquear DNS-over-HTTPS<\/p>\n

    Como uma alternativa intermedi\u00e1ria (se sua organiza\u00e7\u00e3o n\u00e3o implementou completamente a descriptografia HTTPS), o NGFW pode ser configurado para aplicar a a\u00e7\u00e3o 'proibir' ao identificador do aplicativo 'dns-over-https', mas o efeito ser\u00e1 limitado ao bloqueio de determinados servidores DoH bem conhecidos por seus nomes de dom\u00ednio, uma vez que, sem a descriptografia do HTTPS, o tr\u00e1fego DoH n\u00e3o pode ser totalmente verificado (veja.  Applipedia do Palo Alto Networks<\/a><\/noindex>   e pesquise pela frase 'dns-over-https').<\/p>\n

    DNS sobre TLS (DoT)<\/h2>\n

    \"MinimizandoDNS dentro do TLS<\/p>\n

    Enquanto o protocolo DoH tenta se misturar com outro tr\u00e1fego na mesma porta, o DoT, por outro lado, utiliza por padr\u00e3o uma porta especial, reservada apenas para esse fim, proibindo especificamente o uso da mesma porta para o tr\u00e1fego DNS tradicional n\u00e3o criptografado ( RFC 7858, Se\u00e7\u00e3o 3.1<\/a><\/noindex> ).<\/p>\n

    O protocolo DoT utiliza o protocolo TLS para garantir a criptografia, encapsulando as solicita\u00e7\u00f5es padr\u00e3o do protocolo DNS, com tr\u00e1fego utilizando a bem conhecida porta 853 ( RFC 7858, se\u00e7\u00e3o 6<\/a><\/noindex> ). O protocolo DoT foi desenvolvido para facilitar que as organiza\u00e7\u00f5es bloqueiem o tr\u00e1fego pela porta, ou concordem com seu uso, mas incluam a descriptografia nessa porta.<\/p>\n

    Riscos associados ao DoT<\/h2>\n

    O Google implementou DoT em seu cliente Android 9 Pie e vers\u00f5es posteriores<\/a><\/noindex> , com a configura\u00e7\u00e3o autom\u00e1tica de uso do DoT habilitada por padr\u00e3o, se dispon\u00edvel. Se voc\u00ea avaliou os riscos e est\u00e1 disposto a usar o DoT em n\u00edvel organizacional, \u00e9 necess\u00e1rio que os administradores de rede permitam explicitamente o tr\u00e1fego de sa\u00edda na porta 853 atrav\u00e9s de seu per\u00edmetro para esse novo protocolo.<\/p>\n

    Garantindo visibilidade e controle sobre o tr\u00e1fego DoT<\/h2>\n

    Como melhor pr\u00e1tica para o controle do DoT, recomendamos qualquer uma das op\u00e7\u00f5es acima, dependendo das necessidades da sua organiza\u00e7\u00e3o:<\/p>\n