كيف يعمل DNS ومخاطره

يحوّل نظام أسماء النطاقات (DNS) الأسماء السهلة للبشر مثل example.com إلى عناوين IP مثل 93.184.216.34. تبدأ كل معاملة شبكية تقريبًا بعملية بحث في DNS، مما يجعل DNS هدفًا عالي القيمة.

إذا تحكم مهاجم في تحليل الأسماء أو تلاعب به، فيمكنه إعادة توجيه الضحايا خفيةً إلى خوادم ضارة، أو اعتراض حركة المرور، أو استخراج البيانات من دون التفاعل مع التطبيق نفسه. ويُعد فهم مسار التحليل الخطوة الأولى للدفاع عنه.

يمر البحث التكراري المعتاد عبر سلسلة من الخوادم:

• المحلل المحلي على جهاز العميل (نظام التشغيل).
• المحلل التكراري (مزود خدمة الإنترنت أو 8.8.8.8) الذي يتولى تنفيذ خطوات البحث.
• الخوادم الجذرية التي تشير إلى خوادم نطاقات المستوى الأعلى.
• خوادم نطاقات المستوى الأعلى (مثل .com) التي تشير إلى الخوادم المعتمدة.
• الخوادم المعتمدة التي تحتوي على السجلات الفعلية.

كل قفزة تمثل نقطة محتملة للاعتراض أو الانتحال.

يجيب المحلل التكراري عن أي استعلام من خلال تتبع الإحالات نيابةً عن العميل وتخزين النتيجة مؤقتًا. أما الخادم المعتمد فلا يجيب إلا عن المناطق التي يملكها، ويقدم البيانات النهائية الموثوقة.

من منظور أمني، يمكن إساءة استخدام المحللات التكرارية المفتوحة لشن هجمات التضخيم، بينما تستهدف هجمات اختطاف المنطقة واختراق حساب المسجل الخوادم المعتمدة. احصروا التكرار في شبكتكم فقط.

سجلات ستصادفونها أثناء التحليل:

• A / AAAA — عنوان IPv4 / IPv6.
• CNAME — اسم مستعار لاسم آخر (انتبهوا إلى سجلات CNAME المعلّقة التي قد تؤدي إلى الاستيلاء على نطاق فرعي).
• MX — خوادم البريد.
• NS — تفويض إلى الخوادم المعتمدة.
• TXT — نص حر يُستخدم مع SPF وDKIM، وغالبًا ما يُساء استخدامه في الأنفاق.

يعمل DNS التقليدي عبر منفذ UDP‏ 53، مع الرجوع إلى TCP‏ 53 للاستجابات الكبيرة ونقل المناطق. وبما أن UDP عديم الاتصال ولا يحافظ على حالة، فلا توجد مصافحة تثبت أن المستجيب هو الجهة التي يدّعي أنه يمثلها.

الترابط الوحيد بين الاستعلام وإجابته هو معرّف معاملة مكوّن من 16 بت ومنفذ المصدر. وهذا الارتباط الضعيف هو السبب الجذري للانتحال وتسميم ذاكرة التخزين المؤقت.

لتقليل الحمل، تخزّن المحللات الإجابات مؤقتًا طوال مدة TTL (مدة البقاء) للسجل. وتظل الاستجابة التي تبلغ قيمة TTL فيها 3600 مخزنةً مؤقتًا لمدة ساعة.

التخزين المؤقت سلاح ذو حدين: فهو يحسّن الأداء، لكنه يعني أن إجابة واحدة مسمّمة قد تُقدَّم إلى العديد من الضحايا حتى انتهاء TTL. وغالبًا ما يحاول المهاجمون فرض قيم TTL طويلة لإبقاء الإدخالات الضارة فعالةً مدة أطول.

يكشف DNS العديد من الأسطح الهجومية:

• انتحال على المسار — تزوير الاستجابات والوصول بها قبل الخادم الشرعي.
• تسميم ذاكرة التخزين المؤقت — حقن سجلات ضارة في ذاكرة محلل التخزين المؤقتة.
• اختطاف المسجل أو المنطقة — الاستيلاء على التحكم في النطاق نفسه.
• الأنفاق — ترميز البيانات داخل الاستعلامات لتجاوز ضوابط الخروج.
• تضخيم DDoS — إساءة استخدام المحللات المفتوحة كعاكسات.

لا يوفر DNS العادي أي ضمانة للسلامة أو الأصالة. تُوثق الاستجابة إذا تطابقت مع عنوان IP المصدر، ومنفذ الوجهة، واسم الاستعلام، ومعرّف المعاملة. ويمكن لمهاجم على المسار تخمين جميع هذه القيم أو رصدها.

وهذا الافتراض التصميمي، أي أن الشبكة موثوقة، هو سبب وجود وسائل الحماية الإضافية مثل DNSSEC وDNS عبر TLS (DoT) وDNS عبر HTTPS (DoH).

قبل الهجوم، يحصي الخصوم سجلات DNS لرسم خريطة لأصولكم. ويمكن لعمليات نقل المناطق المهيأة بشكل خاطئ (AXFR) أن تكشف كل السجلات. كما يكشف التخمين القسري للنطاقات الفرعية وسجلات شفافية الشهادات عن مضيفين مخفيين.

ينبغي للمدافعين قصر عمليات نقل المناطق على الخوادم الثانوية المعروفة ومراقبة أنماط الاستعلامات الكثيفة التي تشير إلى التعداد.

يشفّر كل من DNS عبر TLS (المنفذ 853) وDNS عبر HTTPS (المنفذ 443) الاستعلام، بحيث لا يستطيع المراقبون على المسار قراءته أو التلاعب به. ويحد ذلك من الانتحال ويحمي الخصوصية.

أما المفاضلة بالنسبة إلى المدافعين فهي أن DNS المشفّر قد يحجب عن أدوات التصفية والمراقبة الخاصة بكم الرؤية اللازمة. لذلك تُلزم العديد من المؤسسات العملاء باستخدام محلل DoH/DoT خاضع للتحكم بدلًا من السماح لنقاط النهاية باختيار محللات خارجية.

إجراءات عملية لتقوية مسار التحليل:

• شغّلوا محللات تكرارية داخلية، واحظروا الاتصالات الصادرة المباشرة عبر المنفذ 53 إلى الإنترنت.
• عطّلوا التكرار المفتوح على الخوادم المعتمدة.
• قيّدوا عمليات نقل المناطق باستخدام AXFR وسجّلوا هذه العمليات.
• أمّنوا النطاق لدى المسجل (قفل السجل، والمصادقة متعددة العوامل).
• راقبوا حجم الاستعلامات وعشوائيتها لاكتشاف الأنفاق والتعداد.

اختبروا مدى فهمكم لأسباب تعرض DNS للهجمات.

تعلمتم أن تحليل DNS يمر عبر سلسلة تبدأ بالمحلل المحلي ثم الخوادم الجذرية وخوادم نطاقات المستوى الأعلى والخوادم المعتمدة، وأن الإجابات تُخزّن مؤقتًا وفق TTL. وبما أن DNS التقليدي عبر UDP/53 يفتقر إلى المصادقة، فهو عرضة للانتحال وتسميم ذاكرة التخزين المؤقت والاختطاف والأنفاق والتضخيم.

تشمل وسائل الدفاع الأساسية: إغلاق التكرار، وتقييد عمليات نقل المناطق، وأقفال المسجل، والنقل المشفّر (DoT/DoH)، وDNSSEC. بعد ذلك، سنتناول الانتحال وتسميم ذاكرة التخزين المؤقت بالتفصيل.