Så fungerar DNS och dess risker

En rekursiv resolver besvarar alla frågor genom att följa hänvisningar för klientens räkning och cachelagra resultatet. En auktoritativ server svarar endast för de zoner som den ansvarar för och innehåller de definitiva uppgifterna.

Säkerhetsmässigt kan öppna rekursiva resolvrar missbrukas för förstärkningsattacker, medan auktoritativa servrar är mål för zonkapning och intrång hos registraren. Håll rekursionen stängd för ert eget nätverk.

Poster som ni kommer att stöta på under analysen:

• A / AAAA — IPv4- / IPv6-adress.
• CNAME — alias till ett annat namn (se upp med övergivna CNAME-poster som kan leda till att en underdomän kapas).
• MX — e-postservrar.
• NS — delegering till auktoritativa servrar.
• TXT — fri text, används för SPF och DKIM och missbrukas ofta för tunnling.

Traditionell DNS körs över UDP-port 53, med en övergång till TCP 53 för stora svar och zonöverföringar. UDP är anslutningslöst och tillståndslöst, så det finns inget handskakningsförfarande som bevisar att svararen är den den utger sig för att vara.

Den enda kopplingen mellan en fråga och dess svar är ett 16-bitars transaktions-ID och källporten. Denna svaga koppling är grundorsaken till spoofing och cacheförgiftning.

För att minska belastningen cachar resolvrar svar så länge som postens TTL (time to live) anger. Ett svar med TTL 3600 förblir cachat i en timme.

Cachning är ett tveeggat svärd: den förbättrar prestandan, men innebär att ett enda förgiftat svar kan levereras till många offer tills TTL-värdet löper ut. Angripare försöker ofta få in långa TTL-värden så att skadliga poster finns kvar länge.

DNS exponerar flera angreppspunkter:

• On-path-spoofing — förfalskning av svar som skickas snabbare än den legitima serverns svar.
• Cacheförgiftning — insättning av felaktiga poster i en resolvers cache.
• Registrar- / zonkapning — att ta över kontrollen över själva domänen.
• Tunnling — kodning av data i frågor för att kringgå utgående åtkomstkontroller.
• DDoS-förstärkning — missbruk av öppna resolvrar som reflektorer.

Vanlig DNS ger ingen garanti för integritet eller autenticitet. Ett svar litas på om det matchar käll-IP, destinationsport, frågenamn och transaktions-ID. Alla dessa kan gissas fram eller observeras av en angripare på nätverksvägen.

Detta designantagande (att nätverket är tillförlitligt) är anledningen till att tilläggsskydd som DNSSEC, DNS over TLS (DoT) och DNS over HTTPS (DoH) finns.

Som förberedelse inför en attack kartlägger angripare er IT-miljö genom att enumerera DNS. Felkonfigurerade zonöverföringar (AXFR) kan läcka alla poster. Brute-force-sökningar efter underdomäner och loggar för certifikattransparens avslöjar dolda värdar.

Försvarare bör begränsa zonöverföringar till kända sekundära servrar och övervaka mönster med stora mängder frågor som signalerar kartläggning.

DNS over TLS (port 853) och DNS over HTTPS (port 443) krypterar frågan så att observatörer på nätverksvägen inte kan läsa eller manipulera den. Detta försvårar spoofing och skyddar integriteten.

Nackdelen för försvarare är att krypterad DNS kan göra den egna filtreringen och övervakningen blind. Många företag låser klienterna till en kontrollerad DoH/DoT-resolver i stället för att låta slutpunkterna välja externa resolvrar.

Praktiska åtgärder för att härda namnupplösningsvägen:

• Kör interna rekursiva resolvrar och blockera direkt utgående port 53 till internet.
• Stäng av öppen rekursion på auktoritativa servrar.
• Begränsa och logga AXFR-zonöverföringar.
• Lås domänen hos registraren (registerlås, MFA).
• Övervaka frågevolym och entropi för tunnling och kartläggning.

Ni har lärt er att DNS-upplösning följer en kedja från stub-resolvern via rot- och TLD-servrar till auktoritativa servrar, och att svar cachelagras enligt TTL. Eftersom traditionell DNS över UDP/53 saknar autentisering är den utsatt för spoofing, cacheförgiftning, kapning, tunnling och förstärkningsattacker.

Viktiga skydd är stängd rekursion, begränsade zonöverföringar, registrarlås, krypterad transport (DoT/DoH) och DNSSEC. Härnäst går vi igenom spoofing och cacheförgiftning i detalj.