{"id":97349,"date":"2020-10-17T14:42:14","date_gmt":"2020-10-17T12:42:14","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh"},"modified":"2020-10-17T14:42:14","modified_gmt":"2020-10-17T12:42:14","slug":"minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/sv\/blog\/administrirovanie\/minimizacziya-riskov-ispolzovaniya-dns-over-tls-dot-i-dns-over-https-doh","title":{"rendered":"Minimering av riskerna med DNS-over-TLS (DoT) och DNS-over-HTTPS (DoH)","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

\"MinimeringMinimering av riskerna med DoH och DoT<\/p>\n

Skydd mot DoH och DoT<\/h2>\n

Kontrollerar du din DNS-trafik? Organisationer investerar mycket tid, pengar och resurser f\u00f6r att s\u00e4kra sina n\u00e4tverk. En av de omr\u00e5den som ofta inte f\u00e5r tillr\u00e4cklig uppm\u00e4rksamhet \u00e4r DNS. <\/p>\n

En bra \u00f6versikt \u00f6ver riskerna med DNS \u00e4r presentationen fr\u00e5n Verisign<\/a><\/noindex> vid konferensen Infosecurity. <\/p>\n

\"Minimering31% av de granskade ransomware-typerna anv\u00e4nde DNS f\u00f6r nyckelutbyte. Resultaten av studien<\/p>\n

31% av de granskade ransomware-typerna anv\u00e4nde DNS f\u00f6r nyckelutbyte.<\/p>\n

Problemet \u00e4r allvarligt. Enligt forskningslaboratoriet Palo Alto Networks Unit 42, anv\u00e4nder ungef\u00e4r 85% av skadlig programvara DNS f\u00f6r att etablera styr- och kontrollkanaler, vilket g\u00f6r det l\u00e4tt f\u00f6r angripare att inf\u00f6ra skadlig programvara i ditt n\u00e4tverk och stj\u00e4la data. Sedan starten har DNS-trafik till stor del varit okrypterad och l\u00e4tt analyserad av NGFW-s\u00e4kerhetsl\u00f6sningar. <\/p>\n

Nya protokoll f\u00f6r DNS har introducerats f\u00f6r att \u00f6ka sekretessen f\u00f6r DNS-anslutningar. Dessa st\u00f6ds aktivt av ledande webbl\u00e4sartillverkare och andra mjukvaruleverant\u00f6rer. Snart kommer det att ske en \u00f6kning av krypterad DNS-trafik i f\u00f6retagsn\u00e4tverk. Krypterad DNS-trafik som inte analyseras ordentligt och till\u00e5ts, utg\u00f6r en s\u00e4kerhetshot f\u00f6r f\u00f6retaget. Ett exempel p\u00e5 ett s\u00e5dant hot \u00e4r kryptolockare som anv\u00e4nder DNS f\u00f6r att utbyta krypteringsnycklar. Angripare kr\u00e4ver nu ibland flera miljoner dollar i l\u00f6sensumma f\u00f6r att \u00e5terf\u00e5 tillg\u00e5ng till dina data. I f\u00f6retaget Garmin, till exempel, betalade de 10 miljoner dollar.<\/p>\n

Med r\u00e4tt inst\u00e4llning kan NGFW f\u00f6rhindra eller skydda anv\u00e4ndningen av DNS-over-TLS (DoT) och kan anv\u00e4ndas f\u00f6r att f\u00f6rbjuda anv\u00e4ndningen av DNS-over-HTTPS (DoH), vilket g\u00f6r det m\u00f6jligt att analysera all DNS-trafik i ditt n\u00e4tverk.<\/p>\n

Vad \u00e4r krypterad DNS?<\/h2>\n

Vad \u00e4r DNS<\/p>\n

Domain Name System (DNS) omvandlar l\u00e4sbara dom\u00e4nnamn (till exempel adress www.paloaltonetworks.com<\/a><\/noindex> ) till IP-adresser (till exempel, 34.107.151.202). N\u00e4r en anv\u00e4ndare skriver in ett dom\u00e4nnamn i webbl\u00e4saren skickar webbl\u00e4saren en DNS-f\u00f6rfr\u00e5gan till DNS-servern och ber om IP-adressen kopplad till detta dom\u00e4nnamn. I svar skickar DNS-servern tillbaka IP-adressen som webbl\u00e4saren kommer att anv\u00e4nda.<\/p>\n

DNS-f\u00f6rfr\u00e5gningar och -svar \u00f6verf\u00f6rs \u00f6ver n\u00e4tverket i klartext, vilket g\u00f6r dem s\u00e5rbara f\u00f6r avlyssning eller manipulering av svar och omdirigering av webbl\u00e4saren till skadliga servrar. Kryptering av DNS g\u00f6r det sv\u00e5rare att sp\u00e5ra DNS-f\u00f6rfr\u00e5gningar eller \u00e4ndra dem under \u00f6verf\u00f6ringen. Kryptering av DNS-f\u00f6rfr\u00e5gningar och -svar skyddar dig mot Man-in-the-Middle-attacker och utf\u00f6r samtidigt samma funktioner som det traditionella klarskrivna DNS-protokollet (Domain Name System). <\/p>\n

Under de senaste \u00e5ren har tv\u00e5 DNS-krypteringsprotokoll implementerats:<\/p>\n

    \n
  1. \n

    DNS-over-HTTPS (DoH)<\/p>\n<\/li>\n

  2. \n

    DNS-over-TLS (DoT) <\/p>\n<\/li>\n<\/ol>\n

    Dessa protokoll har en gemensam egenskap: de d\u00f6ljer avsiktligt DNS-f\u00f6rfr\u00e5gningar fr\u00e5n alla former av avlyssning\u2026 inklusive fr\u00e5n f\u00f6retagets s\u00e4kerhetsavdelning. Protokollen anv\u00e4nder huvudsakligen TLS-protokollet (Transport Layer Security) f\u00f6r att etablera en krypterad f\u00f6rbindelse mellan klienten som g\u00f6r f\u00f6rfr\u00e5gningar och servern som bekr\u00e4ftar DNS-f\u00f6rfr\u00e5gningar, via en port som vanligtvis inte anv\u00e4nds f\u00f6r DNS-trafik.<\/p>\n

    Sekretessen kring DNS-f\u00f6rfr\u00e5gningar \u00e4r en stor f\u00f6rdel med dessa protokoll. Men de skapar problem f\u00f6r s\u00e4kerhetspersonal som beh\u00f6ver \u00f6vervaka n\u00e4tverkstrafik och uppt\u00e4cka och blockera skadliga anslutningar. Eftersom protokollen har olika implementationer kommer \u00e4ven analysmetoderna att skilja sig \u00e5t mellan DoH och DoT.<\/p>\n

    DNS \u00f6ver HTTPS (DoH)<\/h2>\n

    \"MinimeringDNS inom HTTPS<\/p>\n

    DoH anv\u00e4nder den v\u00e4lk\u00e4nda porten 443 f\u00f6r HTTPS, f\u00f6r vilken det i RFC specifikt anges att syftet \u00e4r \"att blanda DoH-trafik med annan HTTPS-trafik i samma anslutning\", \"att g\u00f6ra det sv\u00e5rare att analysera DNS-trafik\" och d\u00e4rmed kringg\u00e5 f\u00f6retagskontroll\u00e5tg\u00e4rder ( RFC 8484 DoH, avsnitt 8.1<\/a><\/noindex> ). Protokollet DoH anv\u00e4nder TLS-kryptering och syntax f\u00f6r f\u00f6rfr\u00e5gningar som tillhandah\u00e5lls av standarder f\u00f6r HTTPS och HTTP\/2, och l\u00e4gger till DNS-f\u00f6rfr\u00e5gningar och -svar ovanp\u00e5 standard HTTP-f\u00f6rfr\u00e5gningar.<\/p>\n

    Riskerna med DoH<\/h2>\n

    Om du inte kan s\u00e4rskilja vanlig HTTPS-trafik fr\u00e5n DoH-f\u00f6rfr\u00e5gningar kan applikationer inom din organisation (och kommer att) kringg\u00e5 lokala DNS-inst\u00e4llningar genom att omdirigera f\u00f6rfr\u00e5gningar till externa servrar som svarar p\u00e5 DoH-f\u00f6rfr\u00e5gningar. Detta undviker all \u00f6vervakning, vilket inneb\u00e4r att m\u00f6jligheten att kontrollera DNS-trafik f\u00f6rsvinner. I idealfallet b\u00f6r du kontrollera DoH genom att anv\u00e4nda HTTPS-avkrypteringsfunktioner. <\/p>\n

    Och Google och Mozilla har implementerat DoH-funktioner<\/a><\/noindex> i den senaste versionen av sina webbl\u00e4sare, och b\u00e5da f\u00f6retagen arbetar med att anv\u00e4nda DoH som standard f\u00f6r alla DNS-f\u00f6rfr\u00e5gningar. Microsoft utvecklar ocks\u00e5 planer<\/a><\/noindex> f\u00f6r att integrera DoH i sina operativsystem. Nackdelen \u00e4r att inte bara v\u00e4lrenommerade programvaruutvecklare utan \u00e4ven illvilliga akt\u00f6rer har b\u00f6rjat anv\u00e4nda DoH som ett s\u00e4tt att kringg\u00e5 traditionella f\u00f6retagsbrandv\u00e4ggar. (Till exempel, se f\u00f6ljande artiklar: PsiXBot anv\u00e4nder nu Google DoH<\/a><\/noindex> , PsiXBot forts\u00e4tter att utvecklas med en uppdaterad DNS-infrastruktur<\/a><\/noindex> och analys av bakd\u00f6rren Godlua<\/a><\/noindex> .) Oavsett, b\u00e5de legitimerad och skadlig DoH-trafik kommer att f\u00f6rbli o\u00f6vervakad, vilket l\u00e4mnar organisationen blind f\u00f6r illvillig anv\u00e4ndning av DoH som en kanal f\u00f6r att styra skadlig programvara (C2) och stj\u00e4la konfidentiell information.<\/p>\n

    Att s\u00e4kerst\u00e4lla synlighet och kontroll \u00f6ver DoH-trafik<\/h2>\n

    Som den b\u00e4sta l\u00f6sningen f\u00f6r att kontrollera DoH rekommenderar vi att st\u00e4lla in avkryptering av HTTPS-trafik och blockering av DoH-trafik (applikationsnamn: dns-over-https) i NGFW. <\/p>\n

    F\u00f6rst, se till att NGFW \u00e4r konfigurerat f\u00f6r HTTPS-avkryptering, enligt guiden f\u00f6r b\u00e4sta metoder f\u00f6r avkryptering.<\/a><\/noindex>.<\/p>\n

    F\u00f6r det andra, skapa en regel f\u00f6r applikationstrafik \"dns-over-https\", som visas nedan:<\/p>\n

    \"MinimeringRegel f\u00f6r Palo Alto Networks NGFW f\u00f6r att blockera DNS-over-HTTPS<\/p>\n

    Som ett mellanalternativ (om din organisation inte helt har implementerat HTTPS-avkryptering) kan NGFW konfigureras f\u00f6r att till\u00e4mpa \u00e5tg\u00e4rden \"f\u00f6rbjud\" p\u00e5 applikations-ID:n \"dns-over-https\", men effekten kommer att vara begr\u00e4nsad till att blockera vissa v\u00e4lk\u00e4nda DoH-servrar baserat p\u00e5 deras dom\u00e4nnamn, eftersom DoH-trafik inte kan verifieras helt utan HTTPS-avkryptering (se.  Applipedia fr\u00e5n Palo Alto Networks<\/a><\/noindex>   och s\u00f6k efter frasen \"dns-over-https\").<\/p>\n

    DNS \u00f6ver TLS (DoT)<\/h2>\n

    \"MinimeringDNS inuti TLS<\/p>\n

    Medan DoH-protokollet str\u00e4var efter att g\u00f6mma sig bland annan trafik p\u00e5 samma port, anv\u00e4nder DoT som standard en speciell port som \u00e4r reserverad f\u00f6r detta enda syfte, och f\u00f6rbjuder specifikt anv\u00e4ndning av samma port f\u00f6r traditionell okrypterad DNS-trafik ( RFC 7858 , Avsnitt 3.1<\/a><\/noindex> ).<\/p>\n

    DoT-protokollet anv\u00e4nder TLS-protokollet f\u00f6r att s\u00e4kerst\u00e4lla kryptering som kapslar in standard DNS-f\u00f6rfr\u00e5gningar med trafik som anv\u00e4nder den v\u00e4lk\u00e4nda porten 853 ( RFC 7858, avsnitt 6<\/a><\/noindex> ). Protokollet DoT har utvecklats f\u00f6r att f\u00f6renkla f\u00f6r organisationer att blockera trafik p\u00e5 porten, eller att acceptera dess anv\u00e4ndning men inkludera avkryptering p\u00e5 denna port.<\/p>\n

    Risker relaterade till DoT<\/h2>\n

    Google har implementerat DoT i sin klient Android 9 Pie och senare versioner<\/a><\/noindex> , d\u00e4r inst\u00e4llningen f\u00f6r automatisk anv\u00e4ndning av DoT \u00e4r aktiverad som standard om det \u00e4r tillg\u00e4ngligt. Om du har bed\u00f6mt riskerna och \u00e4r beredd att anv\u00e4nda DoT p\u00e5 organisationsniv\u00e5, m\u00e5ste n\u00e4tverksadministrat\u00f6rer uttryckligen till\u00e5ta utg\u00e5ende trafik p\u00e5 port 853 genom sin perimeter f\u00f6r detta nya protokoll.<\/p>\n

    S\u00e4kerst\u00e4lla synlighet och kontroll av DoT-trafik<\/h2>\n

    Som b\u00e4sta praxis f\u00f6r att kontrollera DoT rekommenderar vi n\u00e5gon av f\u00f6ljande \u00e5tg\u00e4rder baserat p\u00e5 dina organisationskrav:<\/p>\n