Vorsicht vor DNS-Tunneling, dem raffinierten Cyberangriff.

Bevor wir über DNS-Tunneling sprechen, sollten wir uns in Erinnerung rufen, dass das Domain Name System (DNS) das Protokoll ist, das Uniform Resource Locator (URL) (maschinenlesbare IP-Adressen, wie 199.167.52.137) in für Menschen verständliche Namen übersetzt.

Das DNS ist ein grundlegendes Protokoll des Internets und wird häufig als „Telefonbuch des Internets“ bezeichnet, da es Domainnamen den entsprechenden IP-Adressen zuordnet.

Die weite Verbreitung des DNS und die damit verbundenen geringen Sicherheitskontrollen ermöglichen es oft, außerhalb des ursprünglichen Verwendungszwecks des Protokolls zu kommunizieren und Daten auszutauschen. Aus diesem Grund haben Cyberkriminelle diese Schwachstelle des Systems als Ansatzpunkt für ihre schädlichen Aktivitäten identifiziert.

Da das DNS zudem nicht als Transportweg für Daten konzipiert ist, überwachen viele Organisationen den DNS-Datenverkehr nicht auf schädliche Aktivitäten. Daher nutzen verschiedene Angriffsarten diese Plattform gegen Unternehmensnetzwerke. Das DNS-Tunneling ist einer dieser Angriffe.

Wie DNS-Tunneling funktioniert

Bei DNS-Tunneling-Angriffen wird das DNS-Protokoll genutzt, um Malware und andere Daten über ein Client-Server-Modell einzuschleusen.

1. Der Angreifer registriert eine Domain, zum Beispiel badsite.com. Das DNS nimmt daraufhin Kontakt mit dem registrierten Server auf, auf dem ein Malware-Programm für das Tunneling installiert ist.
2. Der Angreifer infiziert einen Computer, der sich häufig hinter der Firewall eines Unternehmens befindet. Da DNS-Anfragen innerhalb und außerhalb der Firewall stets zulässig sind, kann der infizierte Computer eine Abfrage an das DNS senden. Das DNS ist ein Server, der Anfragen nach IP-Adressen an die Root-Server und die Top-Level-Domain-Server weiterleitet.
3. Das DNS leitet die Abfrage an den Command-and-Control-Server des Angreifers weiter, auf dem das Tunneling-Programm installiert ist. Nun wird über den DNS-Resolver eine Verbindung zwischen dem Opfer und dem Angreifer hergestellt. Dieser Tunnel kann zur Exfiltration von Daten oder für andere schädliche Zwecke genutzt werden. Da keine direkte Verbindung zwischen dem Angreifer und dem Opfer besteht, ist es schwieriger, den Computer des Angreifers aufzuspüren.

DNS-Tunneling gibt es bereits seit fast 20 Jahren. Sowohl die Malware Morto als auch Feederbot wurden für DNS-Tunneling eingesetzt. Zu den jüngeren DNS-Tunneling-Angriffen zählen die der Bedrohungsgruppe DarkHydrus, die 2018 Regierungsbehörden im Nahen Osten ins Visier nahm, sowie die von OilRig, die seit 2016 aktiv ist und es weiterhin zu sein scheint.

DNS-Tunneling verhindern

Das DNS ist ein äußerst leistungsfähiges, überall eingesetztes Werkzeug, mit dem Anwendungen und Systeme Ressourcen und Dienste finden können, mit denen sie interagieren möchten.

Das DNS bietet eine Kommunikationsgrundlage, auf der fortschrittlichere und leistungsfähigere Protokolle funktionieren, wird aber aus Sicherheitssicht mitunter vernachlässigt, zumal sich die Aufmerksamkeit häufig darauf richtet, wie viel Malware über E-Mail-Protokolle verbreitet oder per HTTP aus dem Web heruntergeladen wird.
Aus diesen Gründen ist das DNS die perfekte Wahl für Angreifer, die ein stets offenes, vernachlässigtes und unterschätztes Protokoll suchen, um die Kommunikation von und zu kompromittierten Hosts auszunutzen.
Organisationen können sich auf verschiedene Weise gegen DNS-Tunneling schützen, sowohl mit der Netzwerksicherheitsplattform von Leonardo Networks als auch mit Open-Source-Technologien. Die Abwehr kann unterschiedliche Formen annehmen, darunter unter anderem die folgenden:

• Blockieren von Domainnamen (oder IP-Adressen bzw. geografischen Regionen) auf Grundlage ihrer bekannten Reputation oder der wahrgenommenen Gefahr;
• Regeln für „ungewöhnliche“ DNS-Abfragen;
• Regeln für Länge, Typ oder Größe eingehender und ausgehender DNS-Abfragen;
• Härten der Client-Betriebssysteme und Verständnis ihrer Funktionen zur Namensauflösung sowie ihrer spezifischen Suchreihenfolge;
• Analyse des Verhaltens von Benutzern und/oder Systemen, die Anomalien automatisch erkennen, etwa den Zugriff auf neue Domains, insbesondere wenn Zugriffsmethode und Häufigkeit auffällig sind;

Best Practices für die DNS-Sicherheit

• Sicherheitspersonal schulen und sensibilisieren
  Führen Sie ein Schulungs- und Sensibilisierungsprogramm zur Sicherheit ein, damit Ihre Mitarbeiter schädliche Bedrohungen erkennen können. Ermutigen Sie sie, beim Aufrufen von Links Vorsicht walten zu lassen, um die Installation von Malware zu vermeiden. Phishing-Schulungen können ihnen helfen, Angriffe per E-Mail zu erkennen, zu vermeiden und zu melden.
• Ein Threat-Intelligence-Programm einführen
  Verschaffen Sie sich einen Überblick über die Bedrohungslage und aktivieren Sie ein Threat-Intelligence-Programm, um sich der verschiedenen Arten von Bedrohungen und der heute von Angreifern eingesetzten Techniken bewusst zu sein. Mit diesen Informationen können Sie sicherstellen, dass Sie über die richtige Technologie verfügen, um Ihr Netzwerk zu schützen.
• Verstehen, was DNS-Daten Ihnen verraten können
  Beschränken Sie sich nicht darauf, den DNS-Datenverkehr nur zu beobachten. Das Sammeln von DNS-Logs hat nur geringen Wert, wenn Sie nicht verstehen, was Sie beobachten. Wenn Sie die Daten verstehen, können Sie bislang unbekannte Bedrohungen auf DNS-Ebene in Ihrer Organisation erfolgreich verhindern.
• Die Verwaltung eines DNS-Resolvers nicht aufschieben
  Wenn ein DNS-Server kompromittiert wird, kann er Ihnen falsche Antworten liefern, um Ihren Datenverkehr auf andere kompromittierte Systeme umzuleiten oder einen Man-in-the-Middle-Angriff zu ermöglichen.
• Das Risiko durch Remote-Arbeit einplanen
  Entwickeln Sie eine Strategie für Remote-Mitarbeiter, da diese sensible Unternehmensdaten gefährden können. Weisen Sie sie darauf hin, keine unsicheren, kostenlosen oder öffentlichen Wi-Fi-Netzwerke zu nutzen, da Angreifer sich leicht zwischen die Mitarbeiter und den Verbindungspunkt schalten können. Integrieren Sie die Multi-Faktor-Authentifizierung und bereiten Sie sich auf das Risiko verlorener oder gestohlener Geräte vor.
• Netzwerksicherheit ganzheitlich angehen
  Verfolgen Sie einen ganzheitlichen Ansatz für die Netzwerksicherheit und stellen Sie sicher, dass Sie über die richtigen Fähigkeiten verfügen, um verschiedene Bedrohungsvektoren im Netzwerk abzudecken, die sich leicht in den gesamten Security-Stack integrieren lassen. Bei der Bewertung von Lösungen von Anbietern ist es wichtig, direkte Vergleiche in Proof-of-Concept-Tests durchzuführen. Jede Umgebung ist anders, und unabhängige, neutrale Tests für die Sicherheit auf DNS-Ebene sind noch nicht etabliert.
• Reaktionen automatisieren und nicht nur Warnmeldungen
  Um Ihre Organisation erfolgreich zu schützen, müssen Sie automatisch reagieren und nicht nur Warnmeldungen erhalten. Die Geschwindigkeit, mit der Angriffe ausgeführt werden, macht Warnmeldungen und Signale wirkungslos. Wenn eine Bedrohung erkannt wird, kann es bereits zu spät sein. Ihr Sicherheitsteam muss in der Lage sein, Bedrohungen automatisch zu bestimmen und potenziell infizierte Systeme unter Quarantäne zu stellen, bevor weiterer Schaden entsteht. Um sicherzustellen, dass Ihre Organisation die Best Practices befolgt und den DNS-Sicherheitsdienst von Leonardo Networks optimal nutzt, können Sie eine Bewertung der Best Practices durchführen.

Quelle: paloaltonetworks.com