DNSSEC i filtrowanie DNS

Zwykły DNS nie zapewnia uwierzytelniania. Dwa uzupełniające się mechanizmy ochrony rozwiązują ten problem: DNSSEC potwierdza, że odpowiedzi są autentyczne i niezmodyfikowane, natomiast filtrowanie DNS blokuje rozwiązywanie znanych szkodliwych nazw. Razem chronią integralność i zmniejszają powierzchnię ataku.

W tej lekcji omówiono działanie obu mechanizmów oraz ich miejsce w warstwowej strategii bezpieczeństwa DNS.

DNSSEC (rozszerzenia bezpieczeństwa DNS) dodaje do danych DNS podpisy kryptograficzne. Gwarantuje:

• Autentyczność pochodzenia — odpowiedź pochodzi od właściwego właściciela strefy.
• Integralność danych — odpowiedź nie została zmodyfikowana podczas przesyłania.

Co ważne, DNSSEC nie zapewnia poufności. Zapytania i odpowiedzi nadal są przesyłane w postaci jawnej; do ochrony prywatności nadal potrzebne są DoT/DoH.

Każdy zestaw rekordów w podpisanej strefie otrzymuje rekord RRSIG: podpis cyfrowy tych danych. Odpowiadający mu klucz publiczny jest publikowany jako rekord DNSKEY.

Resolver przeprowadzający walidację pobiera RRSIG i DNSKEY, a następnie weryfikuje podpis. Jeśli weryfikacja się nie powiedzie, odpowiedź zostaje odrzucona jako fałszywa, zamiast trafić do klienta.

Zaufanie przepływa w dół hierarchii. Strefa nadrzędna publikuje rekord DS (Delegation Signer), który zawiera skrót DNSKEY strefy podrzędnej. Łańcuch przebiega następująco: root → TLD → Państwa domena.

Resolver przeprowadzający walidację rozpoczyna od zapisanej na stałe kotwicy zaufania root i podąża w dół za rekordami DS. Jeśli któregokolwiek ogniwa brakuje lub jest ono nieprawidłowe, walidacja kończy się niepowodzeniem. Publikacja rekordu DS u rejestratora aktywuje DNSSEC dla domeny.

Strefy korzystają z dwóch ról kluczy:

• ZSK (Zone Signing Key) — podpisuje właściwe rekordy i jest często zmieniany.
• KSK (Key Signing Key) — podpisuje zestaw DNSKEY, ma dłuższy okres ważności i jest wskazywany przez rekord DS strefy nadrzędnej.

Rozdzielenie ról pozwala zmieniać ZSK bez modyfikowania delegacji nadrzędnej, co upraszcza zarządzanie kluczami.

DNSSEC musi również potwierdzać, że dana nazwa nie istnieje. Rekordy NSEC podpisują luki między istniejącymi nazwami, ale pozwalają atakującym przejść po całej strefie i ją wyliczyć.

NSEC3 rozwiązuje ten problem, podpisując skróty nazw zamiast nazw w postaci jawnej, co utrudnia enumerację strefy. W przypadku stref, których nie chcą Państwo udostępniać do pełnego przeszukiwania, zaleca się stosowanie NSEC3 (lub NSEC3 opt-out).

Należy realistycznie oceniać zakres ochrony:

• Brak poufności — tylko integralność i autentyczność.
• Walidacja musi odbywać się na zaufanym resolverze; ostatni odcinek do klienta stub nadal pozostaje niezabezpieczony bez DoT/DoH.
• Nieprawidłowo skonfigurowane lub wygasłe podpisy powodują awarie, dlatego należy monitorować ich ważność.
• Większe odpowiedzi zwiększają potencjał ataków amplifikacyjnych, jeśli pozostawiono włączoną otwartą rekursję.

Filtrowanie DNS wykorzystuje resolver jako punkt egzekwowania zasad. Gdy klient wyszukuje złośliwą lub niepożądaną domenę, resolver odmawia odpowiedzi albo ją przepisuje, często kierując klienta do sinkhole lub na stronę blokady.

Jest to rozwiązanie niedrogie, szybkie i niezależne od protokołu: zablokowanie wyszukiwania zatrzymuje komunikację C2 złośliwego oprogramowania, phishing i niepożądane kategorie, zanim w ogóle zostanie podjęta próba połączenia.

RPZ to standardowy sposób stosowania zasad zapory DNS. Resolver ładuje strefy zasad — lokalne lub pochodzące z kanałów danych wywiadu zagrożeń — i może:

• Zwrócić NXDOMAIN (nazwa nie istnieje).
• Zwrócić NODATA.
• Przekierować do adresu IP sinkhole lub zamkniętego środowiska.
• Przepuścić żądanie i zarejestrować zdarzenie.

Mechanizm sinkhole jest bardzo przydatny podczas reagowania na incydenty: pozwala przekierować znane domeny C2 i obserwować, które hosty próbują nawiązać z nimi połączenie.

Wartość filtrowania zależy od jakości danych. Należy zasilać resolver:

• Wyselekcjonowanymi listami wskaźników złośliwego oprogramowania, phishingu i C2.
• Źródłami informacji o nowo zarejestrowanych domenach i domenach o niskiej reputacji, które często są złośliwe.
• Zasadami kategorii, na przykład blokowaniem znanych usług anonimizujących na urządzeniach firmowych.

Filtrowanie należy połączyć z rejestrowaniem zdarzeń, aby zablokowane wyszukiwania stały się sygnałami detekcji, a nie tylko cichymi odmowami.

Oba mechanizmy ochrony uzupełniają się, a nie konkurują ze sobą:

• DNSSEC zapewnia autentyczność i niezmienność otrzymywanych odpowiedzi.
• Filtrowanie/RPZ gwarantuje, że znane szkodliwe nazwy nie zostaną w ogóle rozwiązane.

Należy wdrożyć oba mechanizmy na wewnętrznych resolverach przeprowadzających walidację, dodać DoT/DoH w celu ochrony prywatności na ostatnim odcinku, wymusić kontrolę ruchu wychodzącego, a uzyskają Państwo silną, warstwową ochronę DNS.

DNSSEC uwierzytelnia odpowiedzi DNS za pomocą podpisów RRSIG, łańcucha zaufania DNSKEY/DS od kotwicy root oraz NSEC/NSEC3 do uwierzytelnionego potwierdzania nieistnienia nazw, ale nie zapewnia poufności. Filtrowanie DNS (RPZ, sinkhole, źródła danych wywiadu zagrożeń) zapobiega rozwiązywaniu znanych szkodliwych nazw i zamienia blokady w sygnały detekcji.

Stosowane razem na wewnętrznych resolverach przeprowadzających walidację, w połączeniu z DoT/DoH i kontrolą ruchu wychodzącego, tworzą warstwową ochronę przed atakami DNS omówionymi w tym kursie.