{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sl\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"Minimizacija tveganj pri uporabi DNS-over-TLS (DoT) in DNS-over-HTTPS (DoH)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MinimizacijaMinimizacija rizikov pri uporabi DoH in DoT<\/p>\n

Za\u0161\u010dita pred DoH in DoT<\/h2>\n

Ali nadzorujete svoj DNS promet? Organizacije vlagajo veliko \u010dasa, denarja in truda v zagotavljanje varnosti svojih omre\u017eij. A ena izmed podro\u010dij, ki pogosto ne dobi ustrezne pozornosti, je DNS. <\/p>\n

Dober pregled rizikov, ki jih prina\u0161a DNS, je predavanje Verisign<\/a><\/noindex> na konferenci Infosecurity. <\/p>\n

\"Minimizacija31% anketiranih vrst programov za izsiljevanje je uporabljalo DNS za izmenjavo klju\u010dev. Ugotovitve raziskave<\/p>\n

31% anketiranih vrst programov za izsiljevanje je uporabljalo DNS za izmenjavo klju\u010dev.<\/p>\n

Te\u017eava je resna. Po podatkih raziskovalne laboratorije Palo Alto Networks Unit 42 pribli\u017eno 85% zlonamerne programske opreme uporablja DNS za vzpostavitev kanala za upravljanje in nadzor, kar omogo\u010da napadalcem, da zlahka uvajajo zlonamerno programsko opremo v va\u0161e omre\u017eje ter kradejo podatke. Od svojega nastanka je bil DNS promet ve\u010dinoma ne\u0161ifriran in ga je bilo enostavno analizirati z za\u0161\u010ditnimi mehanizmi NGFW. <\/p>\n

Pojavili so se novi protokoli za DNS, namenjeni pove\u010danju zasebnosti DNS povezav. Aktivno jih podpirajo vodilni ponudniki brskalnikov in drugi ponudniki programske opreme. Kmalu bo v podjetni\u0161kih omre\u017ejih za\u010dela rasti \u0161ifrirana DNS-promet. \u0160ifriran DNS promet, ki se ne analizira ustrezno in je dovoljen, predstavlja varnostno gro\u017enjo za podjetje. Ena od takih gro\u017eenj so kraje identitete, ki uporabljajo DNS za izmenjavo \u0161ifrirnih klju\u010dev. Napadalci zdaj zahtevajo odkup v ve\u010d milijonih dolarjev za obnovitev dostopa do va\u0161ih podatkov. Na primer, podjetje Garmin je pla\u010dalo 10 milijonov dolarjev.<\/p>\n

Ob pravilni nastavitvi lahko NGFW prepre\u010dujejo ali za\u0161\u010ditijo uporabo DNS-over-TLS (DoT) in lahko se uporabljajo za prepovedovanje uporabe DNS-over-HTTPS (DoH), kar omogo\u010da analizo celotnega DNS prometa v va\u0161em omre\u017eju.<\/p>\n

Kaj je \u0161ifriran DNS?<\/h2>\n

Kaj je DNS<\/p>\n

Sistem domen (DNS) pretvarja \u010dlove\u0161ko berljive domene (na primer, naslov www.paloaltonetworks.com<\/a><\/noindex> ) na IP naslov (na primer, 34.107.151.202). Ko uporabnik vnese domeno v spletni brskalnik, brskalnik po\u0161lje DNS poizvedbo DNS stre\u017eniku, ki zahteva IP naslov, povezan s to domeno. V odgovor DNS stre\u017enik vrne IP naslov, ki ga bo uporabil ta brskalnik.<\/p>\n

DNS poizvedbe in odgovori se po\u0161iljajo po omre\u017eju v obliki navadnega besedila, brez \u0161ifriranja, kar jih naredi ranljive za vohunjenje ali spreminjanje odgovorov ter preusmerjanje brskalnika na zlonamerne stre\u017enike. \u0160ifriranje DNS ote\u017ei sledenje DNS poizvedbam ali njihovo spremembo med prenosom. \u0160ifriranje DNS poizvedb in odgovorov vas \u0161\u010diti pred napadi Man-in-the-Middle, pri \u010demer opravlja enake funkcije kot tradicionalni protokol DNS (sistem domenskih imen) v navadnem besedilu. <\/p>\n

V zadnjih nekaj letih sta bila uvedena dva protokola za \u0161ifriranje DNS:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Ti protokoli imajo eno skupno zna\u010dilnost: namenoma skrivajo DNS poizvedbe pred kakr\u0161nimkoli prestrezanjem... in pred organizacijskimi varnostniki prav tako. Protokoli v glavnem uporabljajo protokol TLS (Transport Layer Security) za vzpostavitev \u0161ifrirane povezave med stranko, ki po\u0161ilja poizvedbe, in stre\u017enikom, ki dovoljuje DNS poizvedbe, preko vrat, ki se obi\u010dajno ne uporabljajo za DNS promet.<\/p>\n

    Zasebnost DNS poizvedb je velika prednost teh protokolov. Vendar pa ustvarjajo te\u017eave varnostnim analitikom, ki morajo spremljati omre\u017eni promet in odkrivati ter blokirati zlonamerne povezave. Ker se protokoli razlikujejo po na\u010dinu izvajanja, se bodo metode analize razlikovale pri DoH in DoT.<\/p>\n

    DNS over HTTPS (DoH)<\/h2>\n

    \"MinimizacijaDNS znotraj HTTPS<\/p>\n

    DoH uporablja dobro znan vrata 443 za HTTPS, za katerega je v RFC posebej navedeno, da je naloga \"me\u0161ati DoH promet z drugim HTTPS prometom v istem povezavi\", \"ote\u017eiti analizo DNS prometa\" in tako obiti ukrepe korporativnega nadzora ( RFC 8484 DoH, oddelek 8.1<\/a><\/noindex> ). Protokol DoH uporablja \u0161ifriranje TLS in sintakso poizvedb, ki jo zagotavljajo splo\u0161ni standardi HTTPS in HTTP\/2, dodaja DNS poizvedbe in odgovore nad standardnimi HTTP poizvedbami.<\/p>\n

    Tveganja, povezana z DoH<\/h2>\n

    \u010ce ne morete razlikovati obi\u010dajnega HTTPS prometa od DoH poizvedb, lahko aplikacije znotraj va\u0161e organizacije (in bodo) zaobidejo lokalne nastavitve DNS, tako da preusmerijo poizvedbe na zunanje stre\u017enike, ki odgovarjajo na DoH poizvedbe, kar zaobide vsakr\u0161en nadzor, torej uni\u010di mo\u017enost nadzora nad DNS prometom. V idealnem primeru bi morali nadzorovati DoH z uporabo funkcij raz\u0161ifriranja HTTPS. <\/p>\n

    In Google in Mozilla sta implementirala mo\u017enosti DoH<\/a><\/noindex> v zadnji razli\u010dici svojih brskalnikov, in obe podjetji delata na uporabi DoH privzeto za vse DNS poizvedbe. Microsoft prav tako razvija na\u010drte<\/a><\/noindex> za integracijo DoH v svoje operacijske sisteme. Slaba stran pa je, da so za\u010deli uporabljati DoH kot sredstvo za obvod tradicionalnih korporativnih po\u017earnih zidov tudi neuradne dru\u017ebe za programsko opremo. ( Na primer, preglejte naslednje \u010dlanke: PsiXBot zdaj uporablja Google DoH<\/a><\/noindex> , PsiXBot se \u0161e naprej razvija z izbolj\u0161ano infrastrukturo DNS<\/a><\/noindex> in analiza backdoora Godlua<\/a><\/noindex> .) V vsakem primeru bo tako dober kot zlonameren DoH promet ostal neopa\u017een, kar bo organizacijo pustilo slepo na zlonamerna uporaba DoH kot kanala za nadzor zlonamerne programske opreme (C2) in krajo zaupnih podatkov.<\/p>\n

    Zagotavljanje vidnosti in nadzora DoH prometa<\/h2>\n

    Kot najbolj\u0161e re\u0161itev za nadzor DoH priporo\u010damo nastavitev raz\u0161ifriranja HTTPS prometa in blokiranje DoH prometa v NGFW (ime aplikacije: dns-over-https). <\/p>\n

    Najprej poskrbite, da je NGFW nastavljeno za raz\u0161ifriranje HTTPS, v skladu z vodnikom po najbolj\u0161ih praksah raz\u0161ifriranja<\/a><\/noindex>.<\/p>\n

    Drugi\u010d, ustvarite pravilo za promet aplikacije 'dns-over-https', kot je prikazano spodaj:<\/p>\n

    \"MinimizacijaPravilo Palo Alto Networks NGFW za blokiranje DNS-over-HTTPS<\/p>\n

    Kot vmesna alternativa (\u010de va\u0161a organizacija ni popolnoma implementirala raz\u0161ifriranja HTTPS) se lahko NGFW nastavi za uporabo dejanja 'prepovedati' na identifikatorju aplikacije 'dns-over-https', vendar bo u\u010dinek omejen na blokiranje dolo\u010denih dobro znanih DoH stre\u017enikov po njihovih domenah, saj brez raz\u0161ifriranja HTTPS DoH prometa ni mogo\u010de popolnoma preveriti (glejte.  Applipedia od Palo Alto Networks<\/a><\/noindex>   in i\u0161\u010dite po frazi 'dns-over-https').<\/p>\n

    DNS over TLS (DoT)<\/h2>\n

    \"MinimizacijaDNS znotraj TLS<\/p>\n

    Medtem ko protokol DoH stremi k me\u0161anju z drugimi prometom na istem vratih, DoT namesto tega po privzetku uporablja posebna vrata, rezervirana za to edinstveno nalogo, pri \u010demer posebej prepoveduje uporabo istih vrat za tradicionalni ne\u0161ifrirani promet DNS ( RFC 7858, Oddelek 3.1<\/a><\/noindex> ).<\/p>\n

    Protokol DoT uporablja protokol TLS za zagotovitev \u0161ifriranja, ki ovija standardne poizvedbe protokola DNS, s prometom, ki uporablja dobro znana vrata 853 ( RFC 7858, oddelek 6<\/a><\/noindex> ). Protokol DoT je bil razvit, da olaj\u0161a organizacijam blokiranje prometa preko vrat, ali pa se strinjati z njegovo uporabo, vendar vklju\u010diti de\u0161ifriranje na tem vratu.<\/p>\n

    Tveganja, povezana z DoT<\/h2>\n

    Google je implementiral DoT v svojem odjemalcu Android 9 Pie in novej\u0161ih razli\u010dicah<\/a><\/noindex> , pri \u010demer je privzeto vklopljena nastavitev za samodejno uporabo DoT, \u010de je ta dostopen. \u010ce ste ocenili tveganja in ste pripravljeni na uporabo DoT na ravni organizacije, morajo omre\u017eni skrbniki nedvoumno dovoliti odhodni promet na vrata 853 preko svoje meje za ta nov protokol.<\/p>\n

    Zagotovitev vidnosti in nadzora prometa DoT<\/h2>\n

    Kot najbolj\u0161a praksa za nadzor DoT priporo\u010damo katero koli od zgoraj navedenega, glede na zahteve va\u0161e organizacije:<\/p>\n