Minimering av riskerna med DoH och DoT
Skydd mot DoH och DoT
Kontrollerar du din DNS-trafik? Organisationer investerar mycket tid, pengar och resurser för att sÀkra sina nÀtverk. En av de omrÄden som ofta inte fÄr tillrÀcklig uppmÀrksamhet Àr DNS.
En bra översikt över riskerna med DNS Àr vid konferensen Infosecurity.
31% av de granskade ransomware-typerna anvÀnde DNS för nyckelutbyte. Resultaten av studien
31% av de granskade ransomware-typerna anvÀnde DNS för nyckelutbyte.
Problemet Ă€r allvarligt. Enligt forskningslaboratoriet Palo Alto Networks Unit 42, anvĂ€nder ungefĂ€r 85% av skadlig programvara DNS för att etablera styr- och kontrollkanaler, vilket gör det lĂ€tt för angripare att införa skadlig programvara i ditt nĂ€tverk och stjĂ€la data. Sedan starten har DNS-trafik till stor del varit okrypterad och lĂ€tt analyserad av NGFW-sĂ€kerhetslösningar.Â
Nya protokoll för DNS har dykt upp, inriktade pÄ att öka konfidentialiteten i DNS-anslutningar. Dessa stöds aktivt av ledande webblÀsartillverkare och andra programvaruleverantörer. Snart kommer det att ske en ökning av krypterad DNS-trafik i företagsnÀtverk. Krypterad DNS-trafik som inte analyseras ordentligt och Àr tillÄten, utgör en sÀkerhetshot för företaget. Ett exempel pÄ detta hot Àr kryptolockare som anvÀnder DNS för nyckelutbyte. Angriparna krÀver nu lösenbelopp pÄ flera miljoner dollar för att ÄterfÄ tillgÄng till dina data. I företaget Garmin betalade man exempelvis 10 miljoner dollar.
Med rÀtt instÀllning kan NGFW förhindra eller skydda anvÀndningen av DNS-over-TLS (DoT) och kan anvÀndas för att förbjuda anvÀndningen av DNS-over-HTTPS (DoH), vilket gör det möjligt att analysera all DNS-trafik i ditt nÀtverk.
Vad Àr krypterad DNS?
Vad Àr DNS
Domain Name System (DNS) omvandlar lÀsbara domÀnnamn (till exempel adress  ) till IP-adresser (till exempel, 34.107.151.202). NÀr en anvÀndare skriver in ett domÀnnamn i webblÀsaren skickar webblÀsaren en DNS-förfrÄgan till DNS-servern och ber om IP-adressen kopplad till detta domÀnnamn. I svar skickar DNS-servern tillbaka IP-adressen som webblÀsaren kommer att anvÀnda.
DNS-förfrĂ„gningar och -svar överförs över nĂ€tverket i klartext, vilket gör dem sĂ„rbara för avlyssning eller manipulering av svar och omdirigering av webblĂ€saren till skadliga servrar. Kryptering av DNS gör det svĂ„rare att spĂ„ra DNS-förfrĂ„gningar eller Ă€ndra dem under överföringen. Kryptering av DNS-förfrĂ„gningar och -svar skyddar dig mot Man-in-the-Middle-attacker och utför samtidigt samma funktioner som det traditionella klarskrivna DNS-protokollet (Domain Name System).Â
Under de senaste Ären har tvÄ DNS-krypteringsprotokoll implementerats:
DNS-over-HTTPS (DoH)
DNS-over-TLS (DoT)
Dessa protokoll har en gemensam nÀmnare: de döljer avsiktligt DNS-förfrÄgningar frÄn all eventuell avlyssning⊠inklusive frÄn sÀkerhetspersonal inom organisationen. Protokollen anvÀnder frÀmst protokollet TLS (Transport Layer Security) för att etablera en krypterad förbindelse mellan klienten, som gör förfrÄgningar, och servern som löser DNS-förfrÄgningar, via en port som vanligtvis inte anvÀnds för DNS-trafik.
Sekretessen kring DNS-förfrÄgningar Àr en stor fördel med dessa protokoll. Men de skapar problem för sÀkerhetspersonal som behöver övervaka nÀtverkstrafik och upptÀcka och blockera skadliga anslutningar. Eftersom protokollen har olika implementationer kommer Àven analysmetoderna att skilja sig Ät mellan DoH och DoT.
DNS över HTTPS (DoH)
DNS inom HTTPS
DoH anvÀnder den vÀlkÀnda porten 443 för HTTPS, för vilken det i RFC specifikt anges att syftet Àr "att blanda DoH-trafik med annan HTTPS-trafik i samma anslutning", "att göra det svÄrare att analysera DNS-trafik" och dÀrmed kringgÄ företagskontrollÄtgÀrder (  ). Protokollet DoH anvÀnder TLS-kryptering och syntax för förfrÄgningar som tillhandahÄlls av standarder för HTTPS och HTTP/2, och lÀgger till DNS-förfrÄgningar och -svar ovanpÄ standard HTTP-förfrÄgningar.
Riskerna med DoH
Om du inte kan sĂ€rskilja vanlig HTTPS-trafik frĂ„n DoH-förfrĂ„gningar kan applikationer inom din organisation (och kommer att) kringgĂ„ lokala DNS-instĂ€llningar genom att omdirigera förfrĂ„gningar till externa servrar som svarar pĂ„ DoH-förfrĂ„gningar. Detta undviker all övervakning, vilket innebĂ€r att möjligheten att kontrollera DNS-trafik försvinner. I idealfallet bör du kontrollera DoH genom att anvĂ€nda HTTPS-avkrypteringsfunktioner.Â
Och  i den senaste versionen av sina webblÀsare, och bÄda företagen arbetar med att anvÀnda DoH som standard för alla DNS-förfrÄgningar.  för att integrera DoH i sina operativsystem. Nackdelen Àr att inte bara vÀlrenommerade programvaruutvecklare utan Àven illvilliga aktörer har börjat anvÀnda DoH som ett sÀtt att kringgÄ traditionella företagsbrandvÀggar. (Till exempel, se följande artiklar:  ,  och  .) Oavsett, bÄde legitimerad och skadlig DoH-trafik kommer att förbli oövervakad, vilket lÀmnar organisationen blind för illvillig anvÀndning av DoH som en kanal för att styra skadlig programvara (C2) och stjÀla konfidentiell information.
Att sÀkerstÀlla synlighet och kontroll över DoH-trafik
Som den bĂ€sta lösningen för att kontrollera DoH rekommenderar vi att stĂ€lla in avkryptering av HTTPS-trafik och blockering av DoH-trafik (applikationsnamn: dns-over-https) i NGFW.Â
Först, se till att NGFW Àr konfigurerat för HTTPS-avkryptering, enligt .
För det andra, skapa en regel för applikationstrafik "dns-over-https", som visas nedan:
Regel för Palo Alto Networks NGFW för att blockera DNS-over-HTTPS
Som ett mellanalternativ (om din organisation inte helt har implementerat HTTPS-avkryptering) kan NGFW konfigureras för att tillÀmpa ÄtgÀrden "förbjud" pÄ applikations-ID:n "dns-over-https", men effekten kommer att vara begrÀnsad till att blockera vissa vÀlkÀnda DoH-servrar baserat pÄ deras domÀnnamn, eftersom DoH-trafik inte kan verifieras helt utan HTTPS-avkryptering (se.    och sök efter frasen "dns-over-https").
DNS över TLS (DoT)
DNS inuti TLS
Medan DoH-protokollet strÀvar efter att gömma sig bland annan trafik pÄ samma port, anvÀnder DoT som standard en speciell port som Àr reserverad för detta enda syfte, och förbjuder specifikt anvÀndning av samma port för traditionell okrypterad DNS-trafik (  ).
DoT-protokollet anvÀnder TLS-protokollet för att sÀkerstÀlla kryptering som kapslar in standard DNS-förfrÄgningar med trafik som anvÀnder den vÀlkÀnda porten 853 (  ). DoT-protokollet har utvecklats för att förenkla för organisationer att blockera trafik pÄ porten, antingen genom att godkÀnna dess anvÀndning men inkludera dekryptering pÄ denna port.
Risker relaterade till DoT
Google har implementerat DoT i sin klient  , dÀr instÀllningen för automatisk anvÀndning av DoT Àr aktiverad som standard om det Àr tillgÀngligt. Om du har bedömt riskerna och Àr beredd att anvÀnda DoT pÄ organisationsnivÄ, mÄste nÀtverksadministratörer uttryckligen tillÄta utgÄende trafik pÄ port 853 genom sin perimeter för detta nya protokoll.
SÀkerstÀlla synlighet och kontroll av DoT-trafik
Som bÀsta praxis för att kontrollera DoT rekommenderar vi nÄgon av följande ÄtgÀrder baserat pÄ dina organisationskrav:
Konfigurera NGFW för att dekryptera all trafik för destinationsport 853. Genom att dekryptera trafiken kommer DoT att visas som en DNS-applikation som du kan vidta ÄtgÀrder mot, sÄsom att aktivera prenumeration.  för att kontrollera DGA-domÀner eller redan existerande och anti-spyware.
Alternativt kan du helt blockera trafik för 'dns-over-tls' genom port 853 med App-ID-motorn. Den Àr vanligtvis blockerat som standard, inga ÄtgÀrder krÀvs (om du inte specifikt har tillÄtit applikationen 'dns-over-tls' eller trafik genom port 853).
KĂ€lla: habr.com
