Обнаружить, пока не поздно: как защитить компанию от атак через DNS‑протокол
Создатели интернета не могли предусмотреть появление современных кибератак, поэтому многие службы, благодаря которым работает сеть, не прошли бы сегодняшние проверки безопасности. Один из примеров — протокол DNS (domain name system, система доменных имен), который обеспечивает открытие сайтов и работу с веб-приложениями. Обнаружить атаку с использованием DNS сложно, потому что эта система работает практически незаметно для пользователя. Через эту слепую зону злоумышленники могут наладить скрытую передачу данных, чтобы получить несанкционированный доступ, украсть конфиденциальную информацию, перенаправить жертв на вредоносные ресурсы.
Давайте обсудим, почему про DNS-протокол часто забывают при организации кибербезопасности, как этим пользуются киберпреступники и какими средствами мы рекомендуем блокировать атаки.
DNS старше самого интернета — первые версии службы работали еще в сети ARPANET
Предположим, вы хотите зайти на сайт bi.zone. Вы вводите адрес (доменное имя), после чего браузер уточняет у DNS‑сервера, какой IP соответствует такому набору символов. Сервер, который обрабатывает этот запрос, называется резолвером (от англ. to resolve, в одном из значений — «выполнять, отвечать на запрос»). Получив в ответе от DNS-сервера IP-адрес, браузер открывает нужный ресурс.
Принцип работы DNS напоминает поиск номера в списке контактов, где каждому доменному имени соответствует IP-адрес. Нередко эту систему и называют телефонной книгой интернета.
Сейчас существует более 342 миллионов доменных имен
Вот как путешествует запрос от браузера по системе доменных имен. На старте, как мы сказали выше, в дело вступает резолвер. Он обращается к другим DNS-серверам, которые выстраиваются в древовидную архитектуру:
- Корневые DNS‑серверы (root domain servers). В основе всей инфраструктуры DNS — 13 серверов. У каждого из них — десятки реплик, которые работают под одним IP‑адресом и подхватывают приходящие запросы по принципу «кто ближе», чтобы в итоге они перенаправлялись в зону, к которой относится нужный веб-ресурс.
- Серверы домена верхнего уровня (top level domain, TLD). Например, когда вы хотите открыть
bi.zone, запрос попадет на тот TLD‑сервер, который соответствует домену.zone. - Авторитативные DNS‑серверы. Они отвечают за конкретную DNS‑зону и хранят данные о конкретных сайтах, приложениях или онлайн‑сервисах. Если у авторитативного сервера нет информации о домене, он выдает ошибку, а браузер сообщает, что не может найти такой адрес.
Чтобы сократить нагрузку на DNS‑архитектуру, резолверы не сразу запрашивают корневые серверы, а сначала проверяют свою память (кеш). Там хранятся записи с IP‑адресами сайтов, и к «большому интернету» резолвер обратится, только если нужного ресурса не обнаружится в кеше.
Как DNS помогает найти нужный ресурс
DNS-серверы также можно классифицировать по тому, как и с какой целью они обрабатывают запросы, но сейчас мы не будем погружаться в вопросы технологии. Перейдем к угрозам, которые связаны с уязвимостями DNS.
Главная проблема DNS с точки зрения кибербезопасности в том, что защитные средства не могут контролировать содержание пакетов данных, поступающих по этому протоколу. Активность DNS в сети практически не отслеживается, и злоумышленники могут вмешиваться в обмен данными. На практике это позволяет им, например, приводить пользователей на опасные страницы.
DNS‑протокол работает по принципу «запрос — ответ», и злоумышленники научились как подменять входящие пакеты данных, так и читать исходящие. Например, в первом случае они могут перенаправить пользователя на свою страницу: предложить браузеру ее IP‑адрес вместо легитимного, чтобы похитить платежные данные, пароли к онлайн-банкам и прочую приватную информацию. Во втором случае с DNS‑трафиком уходят данные, находящиеся в скомпрометированных системах, вплоть до баз данных с конфиденциальной информацией.
www.example.com, а браузер получает IP‑адрес страницы www.1000virusov.ru. В результате жертва попадает на вредоносный сайт, где киберпреступники могут украсть приватные данные, установить удаленное наблюдение за компьютером и отправлять ему команды.jsuerbmspoqth.com, ywix4820xlpbq.com и т. д.) и начинает обмениваться с ними запросами. В массе однотипных интернет‑страниц можно скрыть несколько площадок, которые действительно обеспечивают управление. Остальные нужны только для того, чтобы создать лишнюю работу специалистам по кибербезопасности. Оператор зловреда знает алгоритм, по которому будет работать его ПО, и может это использовать. Кроме того, само по себе создание все новых и новых ресурсов очень затрудняет блокировку серверов под контролем злоумышленников.Эффективная защита DNS‑трафика объединяет в себе статические и динамические методы: первые ищут угрозы по накопленным базам знаний, вторые отслеживают новые признаки нежелательной активности.
Статические средства:
- проверка доменов по черным и белым спискам;
- фильтрация запросов по категориям (например, «азартные игры» и «социальные сети»);
- фильтрация запросов к фишинговым и вредоносным доменам, а также к серверам злоумышленников.
Динамические средства:
- обнаружение и блокировка DNS‑туннелей;
- фильтрация запросов к автоматически сгенерированным доменам.
Специализированные СЗИ помогают найти вредоносные запросы в общем потоке данных, отследить аномальную активность, обнаружить подмену веб‑ресурса. Как следствие, в корпоративной сети повышается security visibility
Общедоступные решения для защиты DNS‑трафика построены на целой библиотеке рекомендаций и международных протоколов. Вот некоторые из них:
- DNSSEC (DNS Security Extensions) — набор расширений основного протокола DNS, направленных на противодействие атакам по подмене доменных имен. На каждом уровне DNS данные заверяются цифровой подписью. Например, при переходе на
bi.zoneкорневой DNS‑сервер подписывает ключ для сервера зоны.zone, а тот — для авторитативного сервераbi.zone. Если на каком‑то шаге в цепочку попадет скомпрометированный сервер, он не сможет подмешать свои запросы в трафик. - TSIG (transaction signature, транзакционная сигнатура) — протокол безопасности для идентификации и проверки целостности данных с применением асимметричного шифрования. Защищенную сигнатуру
клиент и сервер проставляют в специальный раздел DNS‑запроса, чтобы подтвердить легитимность сообщения. - DANE (DNS‑based authentication of named entities, аутентификация объектов на основе DNS) — метод проверяет подлинность сертификатов и цифровых подписей через структуру системы DNS с использованием DNSSEC.
Рассмотрим подход к безопасности DNS на примере сервиса BI.ZONE Secure DNS:
- Запрос об IP-адресе домена приходит к резолверу BI.ZONE Secure DNS.
- Резолвер анализирует легитимность DNS-запроса с помощью механизмов фильтрации: по информации киберразведки (threat intelligence), данным о вредоносных ресурсах, наличию аномалий в запросе.
- Если запрос прошел проверку, то он перенаправляется по знакомой нам цепочке DNS-серверов, чтобы пользователь смог попасть на запрошенный ресурс. В противном случае запрос помечается вредоносным и блокируется.
Таким образом удается заблокировать самые популярные атаки через DNS‑протокол, включая попытки фишинга, активность ботнетов и другого вредоносного ПО.
Чтобы защититься от атак, использующих DNS, рекомендуем следующие меры:
- настройте на DNS-сервере средства безопасности DNSSEC, TSIG, DANE;
- регулярно обновляйте ПО для DNS‑серверов;
- используйте системы для защиты от спуфинга;
- регулярно сканируйте DNS‑серверы на уязвимости;
- подключите сервис предварительной фильтрации трафика с автоматическим отражением атак, например BI.ZONE Secure DNS;
- работайте с проверенными провайдерами, которые защищают свои DNS‑серверы.