Czym jest „sinkhole” DNS i jak działa?

Każde nowoczesne połączenie sieciowe rozpoczyna się od wyszukiwania. Za każdym razem, gdy urządzenie otwiera stronę internetową, pobiera aktualizację lub łączy się z zewnętrznym serwerem, zwraca się do serwera rozpoznającego nazwy domen o przetłumaczenie czytelnej dla człowieka nazwy domeny na adres IP. Ponieważ wyszukiwanie to ma miejsce, zanim jakiekolwiek pakiety danych zostaną przesłane między hostami, stanowi ono jeden z najskuteczniejszych punktów kontroli w systemie zabezpieczeń sieciowych.

Osoby stanowiące zagrożenie nieustannie wykorzystują ten etap. Odmiany złośliwego oprogramowania wysyłają zapytania do zdalnych hostów w celu otrzymania poleceń lub wykradzenia danych, a przynęty phishingowe nakłaniają użytkowników do odwiedzania fałszywych portali internetowych. Zrozumienie szerokiej gamy rodzajów ataków DNS podkreśla, dlaczego kontrola zachowań związanych z wyszukiwaniem jest niezbędna. Technika „DNS sinkholing” zapewnia zespołom ds. bezpieczeństwa aktywny mechanizm wczesnego przechwytywania tych zapytań, powstrzymując złośliwą komunikację, zanim zainfekowana maszyna zdąży nawiązać połączenie.

Czym jest „sinkhole” DNS?

„Sinkhole” DNS to mechanizm zabezpieczający, który przechwytuje zapytania DNS skierowane do znanych złośliwych domen i zamiast prawidłowego adresu docelowego zwraca fałszywy, kontrolowany adres IP. Takie przekierowanie uniemożliwia urządzeniom klienckim dotarcie do infrastruktury stanowiącej zagrożenie, skutecznie neutralizując połączenia zwrotne złośliwego oprogramowania, kampanie phishingowe oraz kanały dowodzenia botnetami już na etapie rozpoznawania domeny.

W standardowym trybie pracy sieci rekurencyjny serwer rozpoznawania nazw wysyła zapytania do autorytatywnych serwerów nazw i dostarcza klientowi prawdziwy adres zewnętrzny żądanej nazwy hosta. W konfiguracji typu „sinkhole” serwer rozpoznawania nazw sprawdza żądaną domenę na podstawie wyselekcjonowanej listy blokowanych adresów. Jeśli żądana domena znajduje się na tej liście, serwer rozpoznawania nazw nie udostępnia prawdziwej odpowiedzi. Zamiast tego podaje alternatywny adres wyznaczony przez administratora sieci, na przykład adres pętli zwrotnej lub specjalistyczny wewnętrzny serwer rejestrujący.

Dzięki zastąpieniu docelowego adresu IP moduł rozpoznawania adresów gwarantuje, że klient nigdy nie zainicjuje uzgodnienia TCP z komputerem atakującego. Połączenie zostaje bezpiecznie przerwane w obrębie środowiska lokalnego.

Jak działa technika „sinkholingu” w systemie DNS

Aby zrozumieć mechanizm działania „sinkhole’u” DNS, należy najpierw przyjrzeć się roli rekurencyjnego serwera rozpoznającego w codziennym ruchu sieciowym przedsiębiorstwa. Gdy wewnętrzna stacja robocza wysyła żądanie, kieruje je bezpośrednio do lokalnego serwera rozpoznającego. Można zapoznać się z naszym omówieniem na temat czym jest serwer DNS , aby dowiedzieć się, jak działają standardowe wyszukiwania rekurencyjne w sieciach rozproszonych.

Technika „sinkholingu” DNS wprowadza do tego cyklu wyszukiwania trzy podstawowe elementy operacyjne:

1. Źródła informacji o zagrożeniach i listy zablokowanych domen

System typu „sinkhole” opiera się na dokładnych i aktualnych danych dotyczących zagrożeń. Zespoły ds. bezpieczeństwa przekazują modułom rozpoznającym listy znanych złośliwych domen, które są gromadzone z otwartych źródeł informacji o zagrożeniach, od komercyjnych dostawców danych wywiadowczych dotyczących zagrożeń, z danych telemetrycznych dotyczących reagowania na incydenty oraz z branżowych grup wymiany informacji. Listy te zawierają aktywne adresy URL służące do phishingu, węzły dystrybucji oprogramowania ransomware oraz znane domeny typu „command-and-control” (C2).

2. Nadpisanie zasad modułu Resolver

Gdy punkt końcowy wysyła zapytanie o adres, moduł rozpoznający domeny porównuje żądaną domenę z regułami strefy polityki przed zastosowaniem standardowych wskazówek dotyczących korzenia internetowego lub przekazaniem zapytania do wyższego poziomu. Jeśli domena pasuje do wpisu na liście blokowanych, moduł rozpoznający domeny wstrzymuje proces rozpoznawania wychodzącego. Nowoczesne moduły rozpoznające domeny realizują to za pomocą stref polityki odpowiedzi (RPZ) – technologii, która pozwala administratorom na dynamiczne przepisywanie odpowiedzi DNS w oparciu o niestandardowe zasady.

3. Miejsce, do którego prowadzi zapadlisko

Gdy moduł rozpoznający adresy uruchomi procedurę nadpisywania, zwraca on z góry zdefiniowany adres. W zależności od celów zespołu ds. bezpieczeństwa adres ten może przybierać jedną z dwóch postaci:

• Nieroutowalny adres zerowy: Moduł rozpoznawania adresów zwraca adres IP, taki jak 0.0.0.0 lub 127.0.0.1. Urządzenie klienckie próbuje połączyć się z samym sobą lub natychmiast odrzuca pakiet, przerywając sesję przy minimalnym obciążeniu zasobów.
• Serwer kontrolowanego rejestrowania (Sinkhole Collector): Moduł rozpoznawania przekierowuje urządzenie na odizolowany serwer wewnętrzny, na którym działa moduł nasłuchujący HTTP lub lekki rejestrator pakietów. Gdy zainfekowany host nawiązuje połączenie, serwer typu sinkhole przechwytuje przychodzące nagłówki HTTP, ciągi user-agent, wewnętrzne adresy IP oraz sygnatury czasowe.

Ta funkcja rejestrowania danych przekształca mechanizm typu „sinkhole” z biernego narzędzia blokującego w aktywny czujnik wykrywający zagrożenia. Dziennik zapory sieciowej może wykazywać jedynie żądanie wychodzące skierowane do zewnętrznego adresu IP, natomiast moduł zbierający dane typu „sinkhole” rejestruje dokładną wewnętrzną stację roboczą, z której pochodzi złośliwe zapytanie, co pozwala zespołom reagującym na incydenty natychmiast odizolować zainfekowane urządzenie.

Rodzaje pułapek DNS

Punkty przechwytywania DNS są wdrażane na różnych poziomach ekosystemu internetowego i służą różnym celom operacyjnym w zależności od tego, kto nimi zarządza.

Wewnętrzne „studnie” przedsiębiorstwa

Organizacje wdrażają wewnętrzne systemy typu „sinkhole” w lokalnych serwerach DNS, zaporach nowej generacji (NGFW) lub bezpiecznych bramach internetowych. Głównym celem jest ochrona punktów końcowych w przedsiębiorstwie oraz monitorowanie stanu sieci wewnętrznej. Gdy pracownik kliknie link phishingowy lub złośliwe oprogramowanie działające w tle próbuje nawiązać połączenie z serwerem C2, korporacyjny system typu „sinkhole” blokuje połączenie wychodzące i powiadamia Centrum Operacji Bezpieczeństwa (SOC), podając wewnętrzny adres IP urządzenia.

Dostawcy usług internetowych (ISP) i publiczne serwery DNS zapewniające ochronę

Dostawcy usług internetowych oraz operatorzy publicznych serwerów DNS (tacy jak Quad9 czy 1.1.1.2 firmy Cloudflare) wdrażają rozwiązania typu „sinkhole” w celu ochrony szerokiego grona konsumentów i przedsiębiorstw. Zamiast prowadzić systemy gromadzenia logów służące do szczegółowej analizy hostów, dostawcy ci skupiają się na skali działania. Przekierowują oni żądania dotyczące niebezpiecznych domen na trasy zerowe lub hostowane strony ostrzegawcze, zapobiegając w ten sposób dotarciu ogromnych ilości złośliwego ruchu do swoich abonentów.

Luki w badaniach i egzekwowaniu prawa (likwidacja botnetów)

W ramach zakrojonych na szeroką skalę operacji przeciwko cyberprzestępczości organy wymiaru sprawiedliwości oraz badacze zajmujący się bezpieczeństwem tworzą tzw. „sinkhole” na poziomie rejestratorów lub rejestrów. Na podstawie nakazów sądowych śledczy przejmują własność złośliwych domen zakodowanych na stałe w różnych wariantach złośliwego oprogramowania. Modyfikują oni rekordy autorytatywnych serwerów nazw dla tych domen, kierując miliony zainfekowanych botów na całym świecie na serwery badawcze. Pozwala to na przerwanie kontroli grupy przestępczej nad zainfekowanymi komputerami oraz umożliwia badaczom określenie wielkości i zasięgu geograficznego botnetu.

Praktyczne przykłady stosowania techniki „sinkholingu” w systemie DNS

Technika „sinkholingu” w sieci DNS odegrała kluczową rolę w rozwiązaniu niektórych z najpoważniejszych incydentów związanych z cyberbezpieczeństwem w najnowszej historii.

Mechanizm wyłączający oprogramowanie ransomware WannaCry (2017)

W maju 2017 r. ransomware WannaCry rozprzestrzeniło się na całym świecie, paraliżując szpitale, firmy telekomunikacyjne i systemy transportowe w ponad 150 krajach. Robak rozprzestrzeniał się samodzielnie, wykorzystując lukę EternalBlue.

Podczas analizy pliku binarnego złośliwego oprogramowania badacz ds. bezpieczeństwa Marcus Hutchins odkrył niezarejestrowaną domenę zakodowaną na stałe w kodzie źródłowym. Autor złośliwego oprogramowania wprowadził mechanizm sprawdzający: przed zaszyfrowaniem dysku hosta kod wysyłał zapytanie DNS do tej domeny. Jeśli zapytanie kończyło się niepowodzeniem, oprogramowanie ransomware przystępowało do szyfrowania plików. Jeśli domena odpowiadała, złośliwe oprogramowanie przerywało działanie. Hutchins zarejestrował domenę za około dziesięć dolarów i przekierował ją na serwer typu sinkhole. Gdy komputery na całym świecie pomyślnie rozpoznały domenę, wbudowana logika zatrzymała procedurę wykonywania, nieumyślnie powstrzymując globalną epidemię w jej początkowej fazie.

Operacja „Avalanche” (2016)

Sieć sieć Avalanche działała przez ponad siedem lat jako nielegalna platforma typu „bulletproof hosting” oraz platforma do rozpowszechniania złośliwego oprogramowania, obsługując ponad dwa tuziny trojanów bankowych oraz odmian oprogramowania ransomware, takich jak GozNym i TeslaCrypt. Infrastruktura ta wykorzystywała podwójną technikę „fast-flux”, zmieniając adresy IP i serwery nazw co kilka minut, aby uniknąć wykrycia.

Pod koniec 2016 roku międzynarodowa koalicja organów ścigania z czterdziestu krajów, we współpracy z Europolem i Departamentem Sprawiedliwości Stanów Zjednoczonych, zlikwidowała tę operację. Zgodnie z dokumentacją opublikowaną przez Europol władze przejęły, zablokowały lub przekierowały na serwery typu „sinkhole” ponad 800 000 domen. Poprzez zastąpienie serwerów nazw należących do przestępców kontrolowanymi serwerami typu „sinkhole” śledczy odcięli setki tysięcy zainfekowanych komputerów ofiar od ich operatorów, co stanowiło jedną z największych wspólnych akcji likwidacji botnetów w historii.

Zalety techniki „sinkholingu” w sieci DNS

Wdrożenie mechanizmu typu „sinkhole” w systemie DNS zapewnia wyjątkowe korzyści strategiczne w zakresie ochrony sieci:

• Zapobieganie zagrożeniom na wczesnym etapie: Rozpoznawanie adresów DNS następuje przed nawiązaniem połączenia TCP lub negocjacją protokołu TLS. Przechwycenie zagrożenia na tym etapie gwarantuje, że złośliwe dane nigdy nie dotrą do bufora sieciowego.
• Szybka lokalizacja infekcji: Kolektor typu „sinkhole” rejestruje adres IP źródłowy każdego wewnętrznego klienta wysyłającego zapytania znajdujące się na czarnej liście. Dzięki temu zespoły ds. bezpieczeństwa mogą wykrywać zainfekowane urządzenia, nieautoryzowane laptopy lub nieautoryzowane urządzenia IoT, które nie są wyposażone w tradycyjne agenty zabezpieczające punkty końcowe.
• Brak śladu na urządzeniach końcowych: Ponieważ funkcja sinkholingu działa bezpośrednio w ramach architektury serwera DNS, administratorzy nie muszą instalować ani utrzymywać agentów po stronie klienta na poszczególnych komputerach, telefonach ani systemach operacyjnych serwerów.
• Ekonomiczna warstwa ochronna: Organizacje mogą tworzyć skuteczne systemy typu „sinkhole” przy użyciu pakietów DNS typu open source, takich jak BIND lub Unbound, w połączeniu z bezpłatnymi, weryfikowanymi przez społeczność źródłami informacji o zagrożeniach.

Połączenie ochrony zapytań na poziomie sieci z szerszymi najlepszymi praktykami w zakresie bezpieczeństwa DNS tworzy solidną, wielopoziomową ochronę, zapewniającą wysoki poziom bezpieczeństwa zarówno wewnętrznym stacjom roboczym, jak i zewnętrznym węzłom brzegowym.

Ograniczenia rozwiązań typu „DNS sinkhole”

Chociaż technika „sinkholingu” DNS zapewnia skuteczną warstwę filtrowania, nie jest to kompleksowe rozwiązanie zabezpieczające. Zespoły ds. sieci muszą uwzględnić kilka ograniczeń strukturalnych:

• Bezpośrednie połączenia zwrotne na adresy IP: Osoby stanowiące zagrożenie często programują złośliwe oprogramowanie tak, aby łączyło się bezpośrednio z zewnętrznymi numerycznymi adresami IP. Jeśli złośliwe oprogramowanie ominie systemowy moduł rozpoznawania adresów i wyśle żądanie połączenia bezpośrednio na adres 203.0.113.10, punkt przechwytywania ruchu nigdy nie wykryje tego ruchu.
• Ominięcie szyfrowanego DNS (DoH i DoT): Nowoczesne przeglądarki i złośliwe oprogramowanie mogą wysyłać zapytania do zewnętrznych publicznych serwerów rozpoznających nazwy za pomocą protokołów DNS-over-HTTPS (DoH) lub DNS-over-TLS (DoT). Żądania te są przesyłane przez szyfrowane kanały, omijając wewnętrzne serwery rozpoznające nazwy w firmie i lokalne zasady przekierowywania ruchu (sinkhole), chyba że reguły dotyczące portów wychodzących ściśle blokują lub odszyfrowują ten ruch.
• Algorytmy generowania domen (DGA): Zaawansowane odmiany złośliwego oprogramowania wykorzystują algorytmy do generowania setek pseudolosowych nazw domen każdego dnia. Listy blokujących często nie nadążają za nowo generowanymi domenami DGA, co pozwala złośliwemu oprogramowaniu nawiązać połączenie zewnętrzne, zanim analitycy zidentyfikują nową domenę i przekierują na nią ruch.
• Resolver i buforowanie po stronie klienta: Jeśli urządzenie klienckie rozpoznało adres przed dodaniem tej domeny przez administratora do strefy sinkhole, system operacyjny zachowuje pierwotny adres IP w lokalnej pamięci podręcznej do momentu wygaśnięcia czasu życia (TTL) rekordu.
• Fałszywe alarmy: Korzystanie z agresywnych lub nieprzefiltrowanych źródeł informacji o zagrożeniach może prowadzić do przekierowania legalnych usług, sieci dostarczania treści lub adresów hostingu współdzielonego do pułapek, co powoduje zakłócenia w pracy zespołów wewnętrznych.

Jak skonfigurować pułapkę DNS

Skonfigurowanie działającego mechanizmu typu „sinkhole” w systemie DNS jest możliwe w różnych środowiskach — od domowych laboratoriów po korporacyjne usługi katalogowe. Proces ten polega na modyfikacji zasad działania serwerów rozpoznających adresy w celu przechwytywania nieprawidłowych żądań.

1. Strefy polityki odpowiedzi (RPZ) w serwerach BIND lub Unbound

W korporacyjnych środowiskach Unix, w których wykorzystuje się demona Berkeley Internet Name Domain (BIND) lub Unbound, powszechnie stosuje się strefy polityki odpowiedzi (RPZ). Reguły RPZ, często nazywane „zaporami DNS”, konfigurują lokalny serwer rekurencyjny tak, aby zwracał zmodyfikowaną odpowiedź, gdy klient wysyła zapytanie dotyczące zablokowanej strefy.

Administrator tworzy dedykowany plik strefy zawierający dane o zagrożeniach:

$TTL 1h
@ IN SOA localhost. root.localhost. ( 2026102401 1h 15m 30d 2h )
NS localhost.

; Przekierowanie złośliwych domen do wewnętrznego serwera rejestrującego
malicious-site.example.com CNAME sinkhole.internal.network.
phishing-domain.example.net A 192.168.10.50
*.bad-actor-infrastructure.org A 192.168.10.50

Każde zapytanie pasujące do tych wpisów jest kierowane bezpośrednio na adres 192.168.10.50, zamiast wysyłać zapytanie do serwerów głównych.

2. Zasady DNS w systemie Windows Server

W środowiskach Active Directory usługa DNS systemu Windows Server zawiera wbudowane funkcje zasad, które pozwalają administratorom blokować lub przekierowywać zapytania bez konieczności korzystania z oprogramowania zewnętrznego. Konfigurując zasady rozpoznawania zapytań za pomocą programu PowerShell, administratorzy mogą porównywać kryteria przychodzących nazw FQDN z listą zablokowanych domen złośliwych i zwracać statyczny adres IP o wartości null:

Add-DnsServerQueryResolutionPolicy -Name „SinkholePolicy” -Action DENY -FQDN „EQ,*.maliciousdomain.com”

3. Specjalistyczne urządzenia zabezpieczające (np. Pi-hole)

W przypadku domowych biur i sieci małych firm filtry DNS działające na poziomie sprzętowym, takie jak Pi-hole, zapewniają gotowe do użycia usługi typu „sinkhole”. Zainstalowany na niewielkim serwerze lub maszynie wirtualnej Pi-hole pełni funkcję głównego serwera rozpoznającego adresy w sieci lokalnej. Odczytuje listy blokowanych adresów opracowane przez społeczność zajmującą się bezpieczeństwem i zwraca adres 0.0.0.0 za każdym razem, gdy urządzenie wysyła żądanie dotyczące domeny powiązanej z sieciami reklamowymi, danymi telemetrycznymi służącymi do śledzenia lub domenami zawierającymi złośliwe oprogramowanie.

Zarządzanie lokalnymi pamięciami podręcznymi klientów

Za każdym razem, gdy wprowadzane są nowe zasady typu „sinkhole”, aktywne urządzenia w sieci mogą nadal próbować łączyć się ze starymi adresami, dopóki nie wygaśnie pamięć podręczna ich wewnętrznego systemu operacyjnego. Podczas rozwiązywania problemów lub sprawdzania, czy reguła typu „sinkhole” działa zgodnie z zamierzeniami, administratorzy powinni wiedzieć, jak wyczyścić DNS na odpowiednich urządzeniach końcowych, aby wyczyścić istniejące tabele pamięci podręcznej i wymusić natychmiastowe wysłanie zapytania do serwera rozpoznającego nazwy.

„DNS Sinkhole” a „filtrowanie DNS” a „DNS Blackhole”

W dyskusjach dotyczących bezpieczeństwa terminy „sinkhole”, „blackhole” i „filtrowanie” są często używane zamiennie. Chociaż wszystkie one mają na celu ograniczenie zagrożeń na poziomie rozpoznawania nazw, działają one w odmienny sposób.

„Czarna dziura” DNS po prostu odmawia udzielenia odpowiedzi lub informuje urządzenie, że wpis nie istnieje. Natomiast „sinkhole” celowo podaje adres, który przekierowuje klienta do odizolowanego środowiska, gdzie pracownicy działu bezpieczeństwa mogą monitorować, jakie kolejne działania klient próbuje podjąć.

Najczęściej zadawane pytania

Czy „DNS sinkhole” to to samo co „Pi-hole”?

Pi-hole to konkretna implementacja rozwiązania typu „sinkhole” dla systemu DNS, przeznaczona do sieci lokalnych. Podczas gdy rozwiązania typu „sinkhole” stosowane w przedsiębiorstwach skupiają się głównie na rejestrowaniu komunikacji botnetów i wykrywaniu infekcji złośliwym oprogramowaniem, Pi-hole wykorzystuje przede wszystkim techniki typu „sinkhole” do blokowania reklam, śledzenia internetowego oraz niechcianych połączeń telemetrycznych, zanim dotrą one do ekranów użytkowników końcowych.

Jakiego adresu IP używa sinkhole?

W przypadku sinkhole’a zazwyczaj wykorzystuje się adres nieroutowalny lub specjalny adres zbiorczy. Do typowych adresów nieroutowalnych należą 127.0.0.1 (adres pętli zwrotnej hosta) lub 0.0.0.0 (nieroutowalny metaadres). Gdy celem jest zebranie dowodów kryminalistycznych, sinkhole zwraca prywatny, wewnętrzny adres IP dedykowanego serwera monitorującego, który rejestruje szczegóły przychodzących połączeń.

Czy złośliwe oprogramowanie może ominąć pułapkę DNS?

Tak. Złośliwe oprogramowanie może ominąć pułapkę DNS poprzez wbudowanie w swój kod surowych adresów IP, co całkowicie eliminuje konieczność wysyłania zapytań o nazwy domen. Może ono również ominąć lokalne serwery rozpoznające nazwy, korzystając z szyfrowanych protokołów, takich jak DNS-over-HTTPS (DoH) lub DNS-over-TLS (DoT), skierowanych na zewnętrzne serwery publiczne, albo poprzez modyfikację lokalnych plików konfiguracyjnych systemu.

Czy stosowanie sinkholingu w sieci DNS jest zgodne z prawem?

Tak, w ramach sieci wewnętrznej organizacji stosowanie sinkholingu DNS stanowi standardową praktykę w zakresie zabezpieczeń. Właściciele sieci zachowują pełną kontrolę nad sposobem, w jaki ich serwery rozpoznające adresy DNS obsługują ruch wewnętrzny. W przypadku stosowania sinkholingu w publicznej sieci internetowej w celu przejęcia kontroli nad domenami zewnętrznymi konieczne są nakazy sądowe, współpraca rejestrów domen lub skoordynowane międzynarodowe działania organów ścigania.

Przemyślenia końcowe

Punkty przechwytywania DNS stanowią kluczową linię obrony ruchu wychodzącego, uniemożliwiając wewnętrznym urządzeniom nawiązywanie połączeń z infrastrukturą stanowiącą zagrożenie oraz ujawniając ukryte infekcje. Jednak zabezpieczenie ruchu wychodzącego ze stacji roboczych to dopiero połowa sukcesu. Należy również chronić nazwę domeny firmy przed wykorzystaniem w cyberatakach wychodzących skierowanych przeciwko zewnętrznym partnerom i klientom.

Bez stałego nadzoru subtelne odchylenia w konfiguracji, nieautoryzowane tworzenie rekordów lub wiszące wskaźniki mogą narazić Twoją organizację na przejęcie domeny i fałszowanie adresów e-mail. Dzięki zautomatyzowanemu monitorowania bezpieczeństwa DNS i zgodności z przepisamimożesz śledzić zmiany w strefach autorytatywnych w czasie rzeczywistym, natychmiast wykrywać nietypowe modyfikacje oraz chronić reputację swojej domeny przed nieautoryzowaną ingerencją.