Ataki na system DNS: 10 rodzajów ataków na system DNS i rzeczywiste przykłady

 

Atak na system DNS to każdy atak, którego celem jest system nazw domenowych (DNS) lub który wykorzystuje go w celu przekierowania użytkowników, kradzieży danych lub unieruchomienia usługi. Każda wizyta na stronie internetowej i każda wysłana wiadomość e-mail opiera się na wyszukiwaniu adresów DNS, co sprawia, że infrastruktura DNS stanowi atrakcyjny cel. Ponieważ tradycyjny system DNS z natury nie uwierzytelnia źródła każdej odpowiedzi, osoby atakujące mogą wykorzystywać słabe punkty w procesie rozpoznawania nazw, administrowaniu domenami i konfiguracji sieci, aby zakłócić działanie usług lub wprowadzić użytkowników w błąd. Istnieje kilka rodzajów ataków DNS w zależności od tego, co jest ich celem, jakie są cele osoby atakującej oraz jakie są metody zapobiegania. W tym wpisie omówimy różne rodzaje ataków DNS oraz sposoby ich łagodzenia. 

Czym jest atak DNS?

Atak na system DNS to cyberatak, którego celem jest system nazw domenowych (DNS) lub który polega na nadużyciu jego normalnych funkcji w celu naruszenia dostępności, integralności lub poufności usług sieciowych. System System nazw domenowych (DNS) przekształca nazwy domen w informacje, takie jak adresy IP, które systemy wykorzystują do lokalizowania stron internetowych, serwerów pocztowych i innych usług internetowych.

Ataki oparte na systemie DNS zazwyczaj przebiegają na trzy sposoby:

1. Przekierowanie ruchu. Atakujący fałszują odpowiedzi DNS, przejmują kontrolę nad ustawieniami DNS lub zmieniają rekordy domenowe, aby przekierować użytkowników do niepożądanego miejsca docelowego. Przykładami takich ataków są spoofing DNS i przejęcie kontroli nad DNS.
2. Wykorzystywanie systemu DNS jako kanału lub narzędzia ataku. Tunelowanie DNS pozwala na przesyłanie nieautoryzowanej komunikacji lub skradzionych danych w ramach zapytań i odpowiedzi DNS. Amplifikacja DNS polega na wykorzystaniu infrastruktury DNS do zwiększenia natężenia ruchu kierowanego w stronę ofiary.
3. Przeładowanie usług DNS. Ataki typu „flood” polegają na wysyłaniu nadmiernej liczby zapytań w celu wyczerpania zasobów serwera. Ataki typu NXDOMAIN wykorzystują żądania dotyczące nieistniejących nazw, aby wymusić powtarzające się wyszukiwania i obciążyć infrastrukturę DNS.

Techniki te mogą wpływać na rekurencyjne serwery nazw, autorytatywne serwery nazw, poszczególne urządzenia, rejestratorów domen lub sieci łączące je.

Wiele ataków kończy się sukcesem z powodu istniejących słabych punktów, takich jak niewystarczające mechanizmy kontroli dostępu, narażone usługi DNS lub brak weryfikacji zabezpieczeń. 

Przegląd rodzajów ataków na system DNS

Poniższa lista ataków na system DNS zawiera podsumowanie poszczególnych technik, ich celów, intencji atakującego oraz odpowiednich środków zabezpieczających.

10 najczęstszych rodzajów ataków na system DNS

Ataki na system DNS różnią się pod względem stosowanych metod i celów. Niektóre z nich polegają na manipulowaniu odpowiedziami zwracanymi przez serwer rozpoznający nazwy, podczas gdy inne mają na celu przejęcie kontroli nad administracją domeną, ukrycie złośliwego ruchu lub przeciążenie infrastruktury. Zrozumienie sposobu działania poszczególnych ataków pomaga zespołom ds. bezpieczeństwa rozpoznać odpowiednie sygnały ostrzegawcze.

1. Fałszowanie adresów DNS i zatruwanie pamięci podręcznej

Sfałszowanie DNS ma miejsce, gdy osoba atakująca podaje fałszywe informacje DNS w celu przekierowania zapytania. Zatrucie pamięci podręcznej DNS to powiązana technika, w ramach której rekurencyjny serwer DNS przyjmuje i zapisuje sfałszowaną odpowiedź DNS. Inni użytkownicy, którzy polegają na tej odpowiedzi zapisanej w pamięci podręcznej, mogą następnie zostać przekierowani na adres IP kontrolowany przez osobę atakującą, dopóki rekord nie wygaśnie lub pamięć podręczna nie zostanie wyczyszczona.

Jak to działa:

1. Resolver otrzymuje żądanie wyszukania domeny.
2. Atakujący próbuje wstrzyknąć sfałszowaną odpowiedź, która wydaje się odpowiadać oczekującemu zapytaniu.
3. Jeśli moduł rozpoznający zaakceptuje sfałszowaną odpowiedź, może zapisać nieprawidłowy wpis w pamięci podręcznej.
4. Kolejne zapytania mogą zwracać złośliwy adres zamiast prawidłowego.

Atakujący może wykorzystać to przekierowanie do udostępniania przekonujących kopii stron internetowych, zbierania danych uwierzytelniających lub przechwytywania poufnych informacji. Udany atak typu „poisoning” może dotknąć wielu użytkowników, jeśli naruszona zostanie integralność współdzielonego serwera nazw.

Jak to rozpoznać: Należy zbadać sytuację, w której serwer rozpoznający zwraca adres IP, który nie zgadza się z oczekiwanymi autorytatywnymi danymi DNS.

Dowiedz się więcej o fałszowaniu adresów DNS oraz zatruciu DNSi dowiedz się, jak DNSSEC pomaga weryfikującym programom odrzucać sfałszowane dane DNS, gdy odpowiednie rekordy są poprawnie podpisane, a weryfikacja jest włączona. (Uwaga: DNSSEC nie chroni przed każdą formą ataku na system DNS)

2. Przejęcie DNS (i jego 4 rodzaje)

Przejęcie DNS ma miejsce, gdy osoba atakująca przejmuje kontrolę nad procesem rozpoznawania nazw DNS lub ustawieniami domeny i zmienia miejsce, do którego kierowane są zapytania. W odróżnieniu od zatruwania pamięci podręcznej, polegającego na wprowadzaniu fałszywych odpowiedzi do pamięci podręcznej programu rozpoznającego nazwy, przejęcie często wiąże się z przejęciem kontroli nad urządzeniem, routerem, usługą DNS lub kontem administratora domeny odpowiedzialnym za rozpoznawanie nazw.

Wyróżnia się cztery typowe formy:

• Przejęcie lokalne: złośliwe oprogramowanie zmienia ustawienia DNS na komputerze lub innym urządzeniu, tak aby wysyłane zapytania były kierowane do serwera DNS kontrolowanego przez atakującego.
• Przejęcie kontroli nad routerem: Atakujący przejmuje kontrolę nad routerem i zmienia jego ustawienia DNS, co może mieć wpływ na wiele podłączonych urządzeń.
• Atak typu „man-in-the-middle”: Atakujący przechwytuje przesyłane zapytania DNS i próbuje zmodyfikować odpowiedzi, zanim dotrą one do urządzenia wysyłającego zapytanie.
• Przejęcie nieautoryzowanego serwera DNS lub rejestratora: Atakujący zmienia delegacje serwerów nazw domenowych lub rekordy DNS, wykorzystując przejęte konto dostawcy usług DNS lub rejestratora.

Jak to działa: Atakujący uzyskuje dostęp do jednego z tych punktów kontrolnych, zmienia adres docelowy DNS lub ścieżkę odpowiedzi i przekierowuje użytkowników do infrastruktury, nad którą sprawuje kontrolę. Wynikające z tego przekierowanie może zostać wykorzystane do phishingu, kradzieży danych uwierzytelniających, dostarczania złośliwego oprogramowania lub zakłócenia działania usług.

Co zyskuje atakujący: kontrolę nad tym, dokąd są przekierowywani poszkodowani użytkownicy, a także potencjalny dostęp do danych uwierzytelniających, poufnych informacji lub ruchu biznesowego.

Jak to rozpoznać: Zwróć uwagę na nieoczekiwane zmiany w rekordach NS lub A, nieznane serwery DNS skonfigurowane na urządzeniach lub routerach oraz wydanie certyfikatów, którego nie da się wyjaśnić autoryzowaną aktywnością. Samo wydanie certyfikatu nie stanowi dowodu przejęcia kontroli, ale może uzasadniać przeprowadzenie dochodzenia.

3. Tunelowanie DNS

Tunelowanie DNS wykorzystuje zapytania i odpowiedzi DNS do przesyłania danych lub komunikacji, które nie są zwykłymi wyszukiwaniami DNS. Atakujący mogą wykorzystać tę technikę do ustanowienia kanałów dowodzenia i kontroli, przesyłania skradzionych informacji lub komunikowania się z zainfekowanymi systemami, wtapiając się jednocześnie w rutynowy ruch sieciowy.

Jak to działa: Dane są kodowane w nazwach domen lub polach rekordów DNS, często z wykorzystaniem subdomen lub rekordów TXT. System kontrolowany przez atakującego odbiera zapytania i odtwarza przesłane informacje. W zależności od implementacji tunel może obsługiwać komunikację dwukierunkową.

Ponieważ protokół DNS jest często dopuszczany przez mechanizmy zabezpieczeń sieciowych, złośliwe tunelowanie może zostać przeoczone, jeśli organizacje nie analizują wzorców ruchu DNS. Jednak tunelowanie DNS nie jest z natury złośliwe. Niektóre legalne narzędzia zabezpieczające i sieciowe również wykorzystują komunikację opartą na protokole DNS.

Korzyści dla atakującego: ukryty kanał umożliwiający zdalne sterowanie, wyciek danych lub komunikację z zainfekowanymi systemami.

Jak to rozpoznać: Zwróć uwagę na zapytania dotyczące subdomen o nietypowo długich nazwach lub o wysokiej entropii, powtarzające się zapytania kierowane do jednej nieznanej domeny lub dużą liczbę żądań TXT, które nie odpowiadają normalnej działalności biznesowej.

Monitorowanie bezpieczeństwa DNS może pomóc w identyfikacji podejrzanych wzorców bez traktowania każdego nietypowego zapytania jako ataku.

4. Ataki wzmacniające DNS

Amplifikacja DNS to rodzaj ataku typu „odmowa usługi” (DDoS), który wykorzystuje serwery DNS do wysyłania dużej ilości ruchu w kierunku ofiary. Zazwyczaj opiera się on na publicznie dostępnych rekurencyjnych serwerach rozpoznających nazwy, które odpowiadają na żądania z dowolnych źródeł.

Jak to działa:

1. Atakujący identyfikuje serwery DNS, które można wykorzystać do generowania odpowiedzi większych niż otrzymane zapytania.
2. Atakujący wysyła żądania DNS z fałszywym adresem IP ofiary podanym jako źródłowy w pakiecie.
3. Serwery DNS wysyłają swoje odpowiedzi do ofiary, a nie do atakującego.
4. Łączne skutki tych ataków powodują nadmierne wykorzystanie przepustowości sieci ofiary i mogą uniemożliwić korzystanie z jej usług.

Zjawisko to nazywa się „odbiciem”, ponieważ ruch jest przesyłany przez serwery DNS stron trzecich, a także „wzmocnieniem”. W końcu odpowiedzi mogą być większe niż żądania. Atak ten może mieć wpływ na strony internetowe, łącza sieciowe i inne usługi dostępne w Internecie.

Co zyskuje atakujący: możliwość generowania ruchu zakłócającego bez konieczności wysyłania każdego pakietu bezpośrednio z własnej infrastruktury.

Jak to rozpoznać: Należy monitorować nieoczekiwane skoki ruchu przychodzącego związanego z DNS, nietypowy ruch pochodzący z wielu serwerów DNS oraz przeciążenie sieci, które zbiega się w czasie z pogorszeniem jakości usług.

Przyczyną tego problemu mogą być luki w zabezpieczeniach systemu DNS , które umożliwiają nieograniczone zapytania rekurencyjne. 

5. Ataki typu „DNS Flood”

Atak typu „DNS flood” przeciąża infrastrukturę DNS ogromną liczbą zapytań, wyczerpując jej możliwości obliczeniowe lub zasoby sieciowe. Atakujący mogą wykorzystywać botnety złożone z zainfekowanych urządzeń do generowania ruchu o natężeniu, z którym usługa DNS ofiary nie jest w stanie sobie poradzić.

Jak to działa: Zainfekowane urządzenia wysyłają ogromną liczbę zapytań do docelowej usługi DNS. Jeśli ruch przychodzący przekroczy przepustowość usługi, prawidłowe zapytania mogą być opóźnione, odrzucone lub pozostawione bez odpowiedzi. W rezultacie użytkownicy mogą nie być w stanie uzyskać dostępu do stron internetowych lub aplikacji, które korzystają z zainfekowanej infrastruktury DNS.

Nie wszystkie ataki typu „DNS flood” wykorzystują ten sam schemat zapytań. Niektóre z nich są skierowane przeciwko autorytatywnym serwerom nazw i polegają na wysyłaniu ogromnej liczby zapytań o pozornie zwyczajnym charakterze, podczas gdy inne wykorzystują losowe subdomeny lub opierają się na mechanizmach odbicia i wzmocnienia.

Korzyści dla atakującego: zakłócenie działania usługi, utrata dostępności oraz potencjalne odwrócenie uwagi od innych złośliwych działań.

Jak to rozpoznać: Zwróć uwagę na gwałtowny wzrost liczby zapytań na sekundę, wydłużone opóźnienia odpowiedzi, utracone żądania lub utrzymujący się wzrost ruchu z rozproszonych źródeł.

Ataki typu „DNS flood”, ataki amplifikacyjne oraz ataki NXDOMAIN mogą przyczyniać się do związanej z DNS, jednak różnią się one wzorcami ruchu i mechanizmami działania. Bezpośredni atak typu flood przeciąża usługę zapytaniami; atak amplifikacyjny polega na kierowaniu większych odpowiedzi w stronę ofiary; natomiast atak typu NXDOMAIN polega na wielokrotnym wysyłaniu żądań dotyczących nieistniejących nazw.

6. Ataki typu NXDOMAIN i ataki z wykorzystaniem losowych subdomen (tzw. „tortury wodne”)

Atak typu NXDOMAIN jest wymierzony w infrastrukturę DNS i polega na wysyłaniu żądań dotyczących nieistniejących nazw domen lub subdomen. Jedną z popularnych odmian tego ataku, zwaną atakiem losowymi subdomenami lub „torturą wodną DNS”, jest generowanie wielu nieprzewidywalnych nazw subdomen w celu zmniejszenia prawdopodobieństwa, że odpowiedzi znajdują się już w pamięci podręcznej.

Jak to działa:

1. Atakujący generuje dużą liczbę losowych subdomen w ramach domeny docelowej.
2. Botnet lub inne źródło ruchu wysyła zapytania dotyczące tych nazw.
3. Ponieważ nazwy są nowe lub nie istnieją, programy rozpoznające nazwy rekurencyjne mogą być zmuszone do przekazania żądań do autorytatywnych serwerów nazw.
4. Liczba powtarzających się zapytań zużywa zasoby serwera i może opóźniać prawidłowe odpowiedzi DNS.

Atak ten jest szczególnie skuteczny, gdy schemat zapytania omija standardowe buforowanie. Wynikowa odpowiedź NXDOMAIN po prostu wskazuje, że żądana nazwa nie istnieje. Sama odpowiedź nie stanowi dowodu ataku; problemem jest nienormalna liczba lub schemat takich żądań.

Co zyskuje atakujący: Możliwość spowolnienia lub zakłócenia procesu rozpoznawania adresów DNS bez konieczności zmiany prawidłowych rekordów DNS.

Jak to wykryć: Należy zwrócić uwagę na nagłe skoki liczby odpowiedzi typu NXDOMAIN, niezwykle wysoką liczbę zapytań dotyczących unikalnych subdomen oraz zwiększone obciążenie autorytatywnych serwerów nazw.

7. Przejęcie subdomeny

A przejęcie subdomeny ma miejsce, gdy osoba atakująca przejmuje kontrolę nad zewnętrzną usługą lub zasobem, do którego nadal wskazuje konfiguracja DNS danej domeny. Zjawisko to występuje najczęściej w sytuacji, gdy aplikacja, strona internetowa lub usługa zewnętrzna hostowana w chmurze zostaje wycofana z eksploatacji, ale jej rekord DNS pozostaje aktywny.

Jak to działa:

1. Subdomena posiada wpis DNS, często typu CNAME, kierujący do usługi zewnętrznej.
2. Usługa lub zasób zostaje usunięty, w wyniku czego miejsce docelowe w systemie DNS pozostaje nieprzypisane.
3. Osoba atakująca identyfikuje nieprzydzielony zasób i rejestruje go lub uruchamia za pośrednictwem odpowiedniego dostawcy.
4. Atakujący udostępnia treści w subdomenie organizacji, potencjalnie wykorzystując zaufaną nazwę domeny, aby złośliwa aktywność wyglądała na legalną.

Co zyskuje atakujący: możliwość umieszczania nieautoryzowanych treści w ramach zaufanej subdomeny. W zależności od usługi i aplikacji może to sprzyjać phishingowi, rozpowszechnianiu złośliwego oprogramowania lub atakom na użytkowników, którzy darzą organizację zaufaniem.

Jak to rozpoznać: Zwróć uwagę na rekordy DNS wskazujące na usługi, które już nie istnieją, strony błędów dostawców w aktywnych subdomenach lub nieoczekiwane treści udostępniane za pośrednictwem nazwy hosta kontrolowanej przez firmę.

A badanie USENIX Security z 2021 r. przeprowadzone przez Squarcinę i współpracowników wykazało luki umożliwiające przejęcie kontroli w 1 520 subdomenach należących do 887 domen z pierwszej 50 000 listy Tranco. Jest to wynik badania, a nie dowód na to, że 15% wszystkich domen z pierwszej 50 000 było podatnych na ataki. W artykule wskazano, że główną przyczyną podatności badanych subdomen było wycofanie usług stron trzecich.

8. Ataki typu „man-in-the-middle” (w trakcie przesyłania) na serwery DNS

A Atak typu „man-in-the-middle” ma miejsce, gdy osoba atakująca może obserwować lub zakłócać komunikację między urządzeniem a jego serwerem DNS. W niezaufanej lub zainfekowanej sieci, takiej jak złośliwy publiczny hotspot Wi-Fi, osoba atakująca może próbować przechwycić niezaszyfrowane zapytania DNS lub manipulować odpowiedziami.

Jak to działa: Urządzenie wysyła zapytanie DNS przez połączenie sieciowe. Jeśli osoba atakująca zdoła ustawić się na ścieżce komunikacyjnej, może obserwować żądane domeny lub próbować modyfikować odpowiedzi, zanim dotrą one do urządzenia. Powodzenie ataku zależy od położenia w sieci, protokołu transportowego oraz stosowanych mechanizmów weryfikacji.

Co zyskuje atakujący: potencjalny wgląd w aktywność systemu DNS, możliwość przekierowywania użytkowników lub informacje, które mogą pomóc w przeprowadzeniu innych ataków.

Jak to rozpoznać: Należy zbadać nieoczekiwane odpowiedzi DNS w konkretnej sieci, powtarzające się problemy z przekierowaniem lub podejrzane zmiany, które występują wyłącznie wtedy, gdy urządzenia łączą się za pośrednictwem określonego punktu dostępowego.

Zastosowanie MTA-STS szyfruje ruch e-mailowy między klientem a serwerem rozpoznającym, ograniczając możliwości przechwycenia i manipulacji na trasie. Nie chroni to jednak wszystkich etapów procesu rozpoznawania DNS.

9. Ponowne wiązanie DNS

Przekierowanie DNS to atak polegający na wykorzystaniu sposobu współdziałania przeglądarek i systemu rozpoznawania nazw DNS w celu skłonienia serwisu internetowego o publicznym źródle pochodzenia do nawiązania komunikacji z systemami w sieci lokalnej ofiary. Atakujący przejmuje kontrolę nad domeną i zmienia adres IP zwracany w odpowiedziach DNS, co powoduje, że przeglądarka po nawiązaniu początkowego połączenia z adresem publicznym łączy się następnie z adresem prywatnym lub wewnętrznym.

Jak to działa:

1. Ofiara odwiedza stronę umieszczoną w domenie kontrolowanej przez atakującego.
2. Domena początkowo przekierowuje do adresu, pod którym znajduje się strona atakującego.
3. Atakujący modyfikuje odpowiedź DNS, tak aby kolejne zapytania prowadziły do wewnętrznego adresu IP.
4. Jeśli zabezpieczenia przeglądarki i sieci nie zablokują tego żądania, skrypty zawarte na stronie mogą próbować nawiązać łączność z routerem, urządzeniem IoT lub wewnętrzną usługą administracyjną.

Atak ten może wykorzystywać relacje zaufania między przeglądarką a źródłem witryny, potencjalnie ujawniając usługi, do których nie ma bezpośredniego dostępu z publicznej sieci internetowej. Powodzenie ataku zależy od zachowania przeglądarki, buforowania DNS, konfiguracji sieci oraz zabezpieczeń wdrożonych przez usługę wewnętrzną.

Co zyskuje atakujący: potencjalny dostęp do wewnętrznych interfejsów internetowych lub informacji ujawnionych przez podatne na ataki urządzenia i aplikacje.

Jak to rozpoznać: Należy zbadać nieoczekiwane żądania kierowane z domeny publicznej do prywatnych zakresów adresów IP, zwłaszcza jeśli towarzyszy im podejrzana aktywność przeglądarki.

Rebinding DNS to nie tylko sfałszowana odpowiedź DNS. Polega on na precyzyjnej modyfikacji odpowiedzi DNS w celu wykorzystania dostępu przeglądarki do sieci ofiary.

10. Typosquatting i domeny łudząco podobne

Typosquatting polega na rejestracji nazwy domeny, która przypomina nazwę legalnej domeny, często poprzez zmianę pisowni, dodanie znaku lub użycie innej domeny najwyższego poziomu. Domeny podobne mogą być wykorzystywane do podszywania się pod firmy, pracowników, dostawców lub serwisy internetowe.

Nie jest to atak na samą infrastrukturę DNS ofiary. Jest to nadużycie systemu nazewnictwa DNS w celu utworzenia fałszywej domeny, którą użytkownicy mogą pomylić z domeną autentyczną.

Jak to działa:

1. Osoba atakująca rejestruje domenę przypominającą nazwę zaufanej marki lub partnera biznesowego.
2. Atakujący konfiguruje wpisy DNS, w tym wpisy MX, jeśli domena ma być wykorzystywana do obsługi poczty elektronicznej.
3. Domena ta służy do hostowania fałszywej strony internetowej, wysyłania wiadomości phishingowych lub podszywania się pod członka kierownictwa lub dostawcę.
4. Ofiary mogą ujawniać dane uwierzytelniające, przekazywać pieniądze lub udostępniać poufne informacje biznesowe.

Co zyskuje atakujący: przekonującą tożsamość do celów phishingu, ataków typu BEC (Business Email Compromise), kradzieży danych uwierzytelniających oraz oszustw. Samo opublikowanie rekordów MX nie stanowi dowodu złych zamiarów, ale może wskazywać, że domena o podobnej nazwie została skonfigurowana do odbierania wiadomości e-mail.

Jak to rozpoznać: Zwracaj uwagę na nowo zarejestrowane domeny o podobnych nazwach, które zaczynają publikować rekordy MX, zwłaszcza gdy nazwy te naśladują nazwę Twojej marki, nazwiska członków kierownictwa lub dostawców.

Przykłady ataków na system DNS w praktyce

Kilka głośnych incydentów związanych z bezpieczeństwem pokazuje, w jaki sposób luki w systemie DNS oraz ataki na infrastrukturę wspierającą mogą wpływać na użytkowników, przedsiębiorstwa i usługi internetowe. Poniższe przykłady ilustrują różne techniki ataku oraz wnioski, jakie można z nich wyciągnąć.

1. Luka w zabezpieczeniach związana z zatruwaniem pamięci podręcznej DNS (Kaminsky) (2008)

W 2008 roku badacz zajmujący się bezpieczeństwem Dan Kaminsky ujawnił poważną lukę w zabezpieczeniach programów rozpoznających adresy DNS. Atakujący mogli wysyłać ogromną liczbę sfałszowanych odpowiedzi, próbując zanieczyścić pamięć podręczną programu rozpoznającego adresy DNS i przekierować użytkowników na złośliwe strony. Ujawnienie tej luki doprowadziło do skoordynowanych zmian w oprogramowaniu i infrastrukturze DNS, w tym do ulepszenia losowego przydzielania portów źródłowych zapytań.

Lekcja: Zabezpieczenie serwerów resolverów i weryfikacja DNSSEC pomagają chronić przed sfałszowanymi danymi DNS. blog.cloudflare.com .

2. Atak DDoS na usługę Dyn DNS (2016 r.)

W październiku 2016 r. botnet Mirai został wykorzystany w poważnym ataku DDoS na firmę Dyn, dostawcy usług DNS. Zakłócenia uniemożliwiły dostęp do wielu znanych serwisów internetowych, które korzystały z infrastruktury firmy Dyn. Botnet Mirai przejął kontrolę nad urządzeniami podłączonymi do Internetu, w tym routerami i kamerami, i wykorzystał je do generowania ruchu atakującego.

Lekcja: Dostępność DNS zależy od niezawodnej infrastruktury i skutecznego przeciwdziałania atakom DDoS. Podłączone urządzenia o słabym zabezpieczeniu mogą stać się częścią znacznie większego ataku.

3. Kampanie przejmowania serwerów DNS: Sea Turtle i DNSpionage (2018–2019)

Badacze zajmujący się bezpieczeństwem udokumentowali kampanie, w ramach których atakujący celowali w infrastrukturę DNS oraz procesy administrowania domenami w celu przekierowania ruchu. Kampania „Sea Turtle” polegała na przejęciu kontroli nad kontami i infrastrukturą związaną z DNS, natomiast w ramach kampanii „DNSpionage” wykorzystywano przejęcie kontroli nad DNS jako część szerszej działalności szpiegowskiej. Operacje te pokazały, że atakujący mogą atakować zaufane systemy rozpoznawania domen, a nie tylko pojedyncze komputery.

Wniosek: Rejestratorzy domen, dostawcy usług DNS oraz konfiguracje serwerów nazw należy traktować jako kluczowe zasoby bezpieczeństwa. Nieoczekiwane zmiany w delegowaniu domen wymagają natychmiastowego zbadania. 

4. Incydent związany z przejęciem kontroli nad DNS/BGP serwisu MyEtherWallet (2018)

W kwietniu 2018 r. użytkownicy próbujący uzyskać dostęp do serwisu kryptowalutowego MyEtherWallet zostali przekierowani na fałszywą stronę internetową w wyniku incydentu związanego z przejęciem trasy BGP i infrastrukturę DNS. Incydent ten pokazał, w jaki sposób ataki na routing internetowy i rozpoznawanie nazw mogą się łączyć, aby sprawić, że złośliwa strona docelowa wygląda na legalną.

Wniosek: Bezpieczeństwo DNS należy rozpatrywać łącznie z bezpieczeństwem routingu, weryfikacją certyfikatów oraz ochroną kont i poufnych transakcji.

5. Atak typu „SAD DNS Cache Poisoning” (2020)

W listopadzie 2020 r. naukowcy ujawnili SAD DNS, technikę wykorzystującą kanał boczny oparty na zachowaniu sieci w celu wznowienia ataków typu „cache poisoning” na podatne na ataki serwery DNS. Badania wykazały, że ulepszenia wprowadzone po ujawnieniu luki przez Kaminsky'ego w 2008 r. nie wyeliminowały wszystkich możliwych technik ataków typu „cache poisoning”.

Wniosek: Środki ochrony DNS muszą ewoluować w miarę odkrywania przez badaczy nowych metod ataków. Należy aktualizować oprogramowanie DNS i stosować weryfikację DNSSEC tam, gdzie jest ona obsługiwana.

Jak wykryć atak na system DNS

Ataki na system DNS nie zawsze powodują natychmiastową awarię. Niektóre z nich po cichu przekierowują użytkowników, tworzą ukryte kanały komunikacyjne lub przygotowują domenę do ataku phishingowego. Monitorowanie zmian i nietypowej aktywności DNS może pomóc w wykryciu problemu, zanim spowoduje on większe szkody.

Zwróć uwagę na następujące sygnały ostrzegawcze:

• Nieoczekiwane zmiany w rekordach NS, A, AAAA lub MX. Należy sprawdzić, czy zmiany zostały zatwierdzone i czy są zgodne z zamierzoną konfiguracją.
• Wydanie certyfikatu bez zgody użytkownika. Należy zbadać nieznane certyfikaty powiązane z posiadanymi domenami, zwłaszcza w połączeniu z innymi podejrzanymi działaniami.
• Nagłe skoki liczby zapytań. Gwałtowny wzrost liczby zapytań lub odpowiedzi typu NXDOMAIN może wskazywać na atak typu „flood” lub atak wykorzystujący losowe poddomeny.
• Nietypowe, zakodowane lub długie subdomeny. Powtarzające się zapytania o wysokiej entropii kierowane do nieznanych domen mogą wskazywać na tunelowanie DNS.
• Użytkownicy trafiają na niewłaściwą stronę internetową. Porównaj odpowiedzi serwerów rozdzielających adresy z rekordami referencyjnymi i zbadaj przyczyny nieoczekiwanych przekierowań.
• Nieoczekiwane zmiany w konfiguracji DNS na urządzeniach lub routerach. Mogą one wskazywać na przejęcie kontroli nad siecią lokalną lub routerem.

Żaden z tych sygnałów sam w sobie nie stanowi dowodu na atak. Zmiany mogą mieć uzasadnione przyczyny, dlatego przed wyciągnięciem wniosków należy zbadać moment ich wystąpienia, źródło, zakres i kontekst.

Ciągłe monitorowanie bezpieczeństwa DNS przekształca zmiany i nietypową aktywność w alerty umożliwiające podjęcie odpowiednich działań. Aby przeprowadzić ręczną weryfikację, skorzystaj z naszej funkcji narzędzia do wyszukiwania rekordów DNS , aby sprawdzić opublikowane rekordy. Jeśli podejrzewasz, że ma miejsce incydent, zachowaj odpowiednie logi i przekaż sprawę do zbadania zespołowi ds. bezpieczeństwa.

Wpływ ataków DNS

Ataki na system DNS mogą mieć wpływ nie tylko na dostępność strony internetowej. Ich skutki zależą od zastosowanej techniki, systemów, które uległy naruszeniu, oraz od tego, jak szybko wykryto incydent.

• Przerwy w działalności: Powodzie i ataki DDoS mogą uniemożliwić legalnym użytkownikom rozpoznawanie nazw domen, zakłócając dostęp do stron internetowych, aplikacji i innych usług online.
• Kradzież danych i nieuprawniony dostęp: Spoofing, przejęcie kontroli i tunelowanie mogą ułatwiać kradzież danych uwierzytelniających, wyciek danych lub uzyskanie dostępu do wrażliwych systemów.
• Phishing i oszustwa: Domeny o podobnej nazwie oraz złośliwe przekierowania mogą sprawiać, że fałszywe strony internetowe lub wiadomości e-mail wydają się wiarygodne, co zwiększa ryzyko kradzieży danych uwierzytelniających oraz przejęcia firmowej poczty elektronicznej.
• Szkody dla marki i reputacji: Klienci mogą stracić zaufanie do organizacji po przekierowaniu na złośliwe strony internetowe lub otrzymaniu fałszywych wiadomości, które wydają się pochodzić od tej firmy.
• Koszty reagowania na incydenty: Organizacje mogą być zmuszone do zbadania ataku, przywrócenia konfiguracji DNS, ograniczenia zasięgu zainfekowanych systemów, skontaktowania się z poszkodowanymi użytkownikami oraz przywrócenia zakłóconych usług.

Jak zapobiegać atakom DNS

Zapobieganie atakom na system DNS wymaga zastosowania środków zabezpieczających dostosowanych do stosowanej techniki. Protokół DNSSEC pomaga weryfikować dane DNS, zabezpieczenia rejestratorów ograniczają ryzyko nieautoryzowanych zmian w domenach, a monitorowanie ruchu sieciowego pozwala wykrywać podejrzane zapytania. Żadne pojedyncze zabezpieczenie nie chroni przed każdym rodzajem ataku na system DNS.

Poniższa tabela może posłużyć jako punkt wyjścia do przyporządkowania typowych ataków do odpowiednich środków zabezpieczających.

Organizacje powinny również monitorować zmiany w autorytatywnych rekordach DNS, regularnie sprawdzać uprawnienia rejestratorów i dostawców usług DNS oraz usuwać rekordy odsyłające do wycofanych z użytku usług. A bezpłatne narzędzie do sprawdzania DNSSEC może pomóc w weryfikacji statusu DNSSEC dla danej domeny, jednak pomyślny wynik kontroli nie gwarantuje, że wszystkie aspekty bezpieczeństwa DNS są poprawnie skonfigurowane.

Uwierzytelnianie wiadomości e-mail jest równie ważne w sytuacjach, gdy osoby atakujące wykorzystują domeny wyglądające jak oryginalne lub przejęte domeny, aby podszywać się pod zaufanych nadawców. Wdrożenie standardów DMARC, SPF i DKIM pomaga systemom pocztowym po stronie odbiorczej w uwierzytelnianiu wiadomości. Polityka DMARC o wartości p=reject, o ile jest prawidłowo wdrożona i wspierana przez odpowiednie mechanizmy uwierzytelniania, nakazuje odbiorcom odrzucanie wiadomości, które nie przeszły oceny DMARC, chociaż sposób egzekwowania tej zasady zależy od systemu odbiorczego.

Pełną listę instrukcji krok po kroku znajdziesz w naszym przewodniku listę najlepszych praktyk dotyczących bezpieczeństwa DNS .

Najczęściej zadawane pytania

Jaki jest najczęstszy rodzaj ataku na system DNS?

Nie ma jednego rodzaju ataku na system DNS, który byłby powszechnie uznawany za najczęstszy. Zagrożenia związane z systemem DNS obejmują spoofing, przejęcie kontroli, tunelowanie oraz ataki typu „odmowa usługi”. Ich częstość występowania różni się w zależności od branży, stopnia narażenia sieci oraz metodologii raportowania. Organizacje powinny monitorować aktywność systemu DNS i ustalać priorytety środków obronnych w oparciu o swoją infrastrukturę oraz narażenie na zagrożenia.

Jakie są dwa rodzaje ataków stosowanych na otwarte serwery DNS?

Dwie powszechne techniki ataku wykorzystujące otwarte serwery DNS to ataki amplifikacyjne i refleksyjne, polegające na nadużywaniu odpowiedzi serwerów w celu skierowania ruchu w stronę ofiary, oraz ataki polegające na wyczerpaniu zasobów, które przeciążają usługi DNS nadmierną liczbą zapytań. Otwarte serwery DNS mogą narazić infrastrukturę na nadużycia, gdy funkcja rekurencji jest dostępna dla nieuprawnionych klientów. 

Jaka jest różnica między spoofingiem DNS a przejęciem DNS?

Sfałszowanie DNS polega na dostarczaniu fałszywych odpowiedzi DNS, natomiast zatruwanie pamięci podręcznej ma miejsce, gdy program rozpoznający nazwy akceptuje i zapisuje sfałszowaną odpowiedź. Przejęcie kontroli nad DNS polega na przejęciu kontroli nad ustawieniami DNS, wpisami lub procesami rozpoznawania nazw w celu przekierowania ruchu. Oba rodzaje ataków mogą kierować użytkowników do złośliwych miejsc docelowych, jednak różnią się one metodą stosowaną przez atakującego oraz punktem kontroli, na który atak ma wpływ.

Czy protokół DNSSEC może powstrzymać wszystkie ataki na system DNS?

Nie. DNSSEC zapewnia kryptograficzne uwierzytelnianie i integralność danych DNS, pomagając programom rozpoznającym adresy w wykrywaniu sfałszowanych odpowiedzi. Nie zapobiega jednak wszystkim atakom, w tym atakom typu DDoS, tunelowaniu DNS ani nieautoryzowanym zmianom wprowadzanym za pośrednictwem przejętych kont rejestratorów. Aby zapewnić zamierzoną ochronę, DNSSEC musi być prawidłowo wdrożony i zweryfikowany. 

Słowa końcowe

Ataki na system DNS mogą zakłócić routing ruchu, doprowadzić do ujawnienia poufnych informacji oraz zakłócić działanie usług, z których korzystają klienci. Znajomość różnych technik ataku pomaga zespołom ds. bezpieczeństwa w badaniu podejrzanej aktywności oraz wyborze odpowiednich środków kontroli. Już dziś zacznij od sprawdzenia konfiguracji domeny, mechanizmów kontroli dostępu oraz aktywności systemu DNS. 

Dowiedz się, jakie zmiany zachodzą w Twojej infrastrukturze DNS

Monitoruj stan systemu DNS, wykrywaj nieoczekiwane zmiany w rekordach i identyfikuj problemy konfiguracyjne, zanim przerodzą się one w poważniejsze zagrożenia dla bezpieczeństwa. PowerDMARC pomaga monitorować bezpieczeństwo domen dzięki zautomatyzowanym kontrolom i monitorowaniu systemu DNS.