DNS: Wie Domains in IPs aufgelöst werden

Das Domain Name System (DNS) ist das Telefonbuch des Internets. Es übersetzt für Menschen lesbare Domainnamen wie google.com in IP-Adressen wie 142.250.80.46, die Computer zum Routing des Datenverkehrs verwenden.

Wenn Sie eine URL eingeben, fragt Ihr Browser DNS ab:

1. Lokalen Cache prüfen (schnell)
2. Lokalen Resolver abfragen (normalerweise Ihren Router oder ISP)
3. Resolver fragt den Root-Nameserver nach der zuständigen TLD-Autorität ab
4. TLD-Nameserver (z. B. .com) nach der zuständigen Domain-Autorität abfragen
5. Autoritativen Nameserver nach dem eigentlichen Eintrag abfragen
6. IP-Adresse wird zurückgegeben und im Cache gespeichert

Gängige DNS-Eintragstypen:

• A — Domain zu IPv4-Adresse
• AAAA — Domain zu IPv6-Adresse
• CNAME — Alias, der auf eine andere Domain verweist
• MX — Mailserver einer Domain
• TXT — beliebiger Text (SPF, DKIM, Verifizierung)
• NS — Nameserver einer Domain

Jeder DNS-Eintrag hat einen TTL-Wert (Time-to-Live) in Sekunden. Nach dem Zwischenspeichern verwenden Resolver den zwischengespeicherten Wert, bis die TTL abläuft, und fragen den Eintrag dann erneut ab. Eine niedrigere TTL vor einer Migration verringert die Verzögerung bei der DNS-Propagation.

Sicherheitsexperten erfassen DNS-Einträge, um die Infrastruktur einer Organisation abzubilden:

Ein DNS-Zonentransfer (AXFR) kopiert alle Einträge von einem Nameserver — nützlich für Backups, aber gefährlich, wenn er für alle zugänglich ist. Fehlkonfigurierte Nameserver können die vollständige interne DNS-Struktur einer Organisation offenlegen.

Cache-Poisoning schleust gefälschte DNS-Einträge in den Cache eines Resolvers ein und leitet Benutzer auf von Angreifern kontrollierte Server um. DNSSEC (DNS Security Extensions) verwendet kryptografische Signaturen, um dies zu verhindern.

Herkömmliches DNS sendet Abfragen im Klartext — jeder im Netzwerk kann sehen, welche Domains Sie besuchen. DoH und DoT verschlüsseln DNS-Abfragen und verhindern dadurch Überwachung sowie das Abfangen von DNS-Datenverkehr durch Man-in-the-Middle-Angriffe.

DNS-Tunneling codiert Daten in DNS-Anfragen und -Antworten, um Daten zu exfiltrieren oder C2-Kommunikation durch Firewalls aufrechtzuerhalten, die DNS-Datenverkehr zulassen. Sicherheitsteams überwachen ungewöhnlich lange DNS-Anfragen und hohe Abfragevolumina als mögliche Indikatoren.

Organisationen betreiben Split-Horizon-DNS: Internes DNS löst private Adressen für interne Dienste auf; externes DNS stellt nur öffentlich zugängliche Einträge bereit. Dadurch wird verhindert, dass die interne Topologie durch externe Abfragen offengelegt wird.

Wichtige DNS-Tools:

Welcher DNS-Eintragstyp gibt den Mailserver an, der für die Verarbeitung von E-Mails einer Domain zuständig ist?

DNS übersetzt Domainnamen in einem hierarchischen Auflösungsprozess, an dem Root-, TLD- und autoritative Nameserver beteiligt sind, in IP-Adressen. Zu den wichtigsten Eintragstypen gehören A, AAAA, MX, CNAME und TXT. Zu den Sicherheitsrisiken zählen Cache-Poisoning, offengelegte Zonentransfers und DNS-Tunneling. DoH und DoT verschlüsseln DNS und schützen die Privatsphäre.