Attention au DNS tunneling, la cyberattaque ingénieuse.

Avant de parler de DNS Tunneling, il convient de rappeler que le Domain Name System (DNS) est le protocole qui traduit les Uniform Resource Locator (URL) (adresses IP compréhensibles par la machine, comme 199.167.52.137) en noms compréhensibles par l'humain.

Le DNS est un protocole fondamental pour internet et il est souvent décrit comme l'« annuaire d'internet » car il associe les noms de domaine aux adresses IP.

La large diffusion du DNS et les contrôles de sécurité limités qui lui sont associés permettent souvent de communiquer et d'échanger des données en dehors des finalités initiales du protocole. C'est pourquoi les cybercriminels ont identifié ce point faible du système pour y développer des activités malveillantes.

De plus, comme le DNS n'est pas conçu pour transporter des données, de nombreuses organisations ne surveillent pas le trafic DNS afin de détecter d'éventuelles activités malveillantes ; par conséquent, différents types d'attaques utilisent cette plateforme contre les réseaux d'entreprise. Le DNS Tunneling est l'une de ces attaques.

Comment fonctionne le DNS Tunneling

Les attaques par DNS Tunneling exploitent le protocole DNS pour introduire des malwares et d'autres données via un modèle client-serveur.

1. L'attaquant enregistre un domaine, tel que badsite.com. Le DNS entre alors en contact avec ce serveur enregistré, sur lequel est installé un programme malveillant de tunneling.
2. L'attaquant infecte un ordinateur, qui se trouve souvent derrière le firewall d'une entreprise. Comme les requêtes DNS sont toujours autorisées vers l'intérieur et l'extérieur du firewall, l'ordinateur infecté peut envoyer une requête au DNS. Le DNS est un serveur qui transmet les requêtes d'adresses IP aux serveurs racine et aux serveurs de domaine de premier niveau.
3. Le DNS achemine la requête vers le serveur de commande et de contrôle de l'attaquant, sur lequel est installé le programme de tunneling. Une connexion est alors établie entre la victime et l'attaquant via le résolveur DNS. Ce tunnel peut être utilisé pour exfiltrer des données ou à d'autres fins malveillantes. Comme il n'existe pas de connexion directe entre l'attaquant et la victime, il est plus difficile de retrouver l'ordinateur de l'attaquant.

Le DNS Tunneling existe depuis près de 20 ans. Les malwares Morto et Feederbot ont tous deux été utilisés pour du DNS Tunneling. Parmi les attaques de DNS Tunneling les plus récentes figurent celles du groupe de menaces DarkHydrus, qui a ciblé en 2018 des organismes gouvernementaux au Moyen-Orient, et celles d'OilRig, actif depuis 2016 et toujours en activité.

Prévenir le DNS Tunneling

Le DNS est un outil très puissant, utilisé partout, qui permet aux applications et aux systèmes de rechercher les ressources et les services avec lesquels interagir.

Le DNS fournit une base de communication qui permet aux protocoles les plus avancés et les plus puissants de fonctionner, mais il peut être négligé sur le plan de la sécurité, surtout si l'on considère la quantité de malwares distribués via les protocoles de messagerie électronique ou téléchargés depuis le web en HTTP.
Pour ces raisons, le DNS est le choix idéal pour les adversaires qui recherchent un protocole toujours ouvert, négligé et sous-estimé, à exploiter pour les communications depuis et vers des hôtes compromis.
Les organisations peuvent se défendre contre le DNS Tunneling de plusieurs façons, en utilisant aussi bien la plateforme de sécurité réseau de Leonardo Networks que des technologies open source. La défense peut prendre différentes formes, parmi lesquelles, sans s'y limiter, les suivantes :

• Bloquer des noms de domaine (ou des adresses IP ou des régions géographiques) en fonction de leur réputation connue ou du danger perçu ;
• Définir des règles pour les requêtes DNS « inhabituelles » ;
• Définir des règles sur la longueur, le type ou la taille des requêtes DNS entrantes et sortantes ;
• Durcir les systèmes d'exploitation clients et comprendre les capacités de résolution de noms, ainsi que leur ordre de recherche spécifique ;
• Analyser le comportement des utilisateurs et/ou des systèmes afin de détecter automatiquement les anomalies, comme l'accès à de nouveaux domaines, en particulier lorsque la méthode d'accès et la fréquence sont inhabituelles ;

Les meilleures pratiques pour la sécurité DNS

• Former et sensibiliser le personnel de sécurité
  Mettez en place un programme de formation et de sensibilisation à la sécurité afin que votre personnel apprenne à identifier les menaces malveillantes. Encouragez-le à prendre des précautions lorsqu'il clique sur des liens, afin d'éviter d'installer des malwares. La formation au phishing peut l'aider à reconnaître, éviter et signaler les attaques par e-mail.
• Mettre en œuvre un programme de renseignement sur les menaces
  Comprenez le paysage des menaces et activez un programme de renseignement sur les menaces (threat intelligence) pour connaître les différents types de menaces et les techniques utilisées aujourd'hui par les attaquants. Grâce à ces informations, vous pouvez vous assurer de disposer de la technologie adéquate pour protéger votre réseau.
• Apprendre ce que les données DNS peuvent vous révéler
  Ne vous contentez pas d'observer le trafic DNS. Collecter les logs des données DNS a peu de valeur si vous ne comprenez pas ce que vous observez. En comprenant les données, vous pouvez prévenir efficacement, au niveau DNS, des menaces jamais vues auparavant dans votre organisation.
• Ne pas tarder à gérer un résolveur DNS
  Si un serveur DNS est compromis, il peut vous fournir de fausses réponses afin de diriger votre trafic vers d'autres systèmes compromis ou de permettre une attaque de type man-in-the-middle.
• Anticiper les risques liés au télétravail
  Élaborez une stratégie pour les collaborateurs à distance, car le télétravail peut mettre en danger les données sensibles de l'entreprise. Avertissez-les de ne pas utiliser de réseaux Wi-Fi non sécurisés, gratuits ou publics, car les adversaires peuvent facilement s'interposer entre les employés et le point de connexion. Intégrez l'authentification multifacteur et préparez-vous au risque de perte ou de vol d'appareils.
• Aborder la sécurité du réseau de manière globale
  Adoptez une approche globale de la sécurité du réseau et assurez-vous de disposer des capacités adéquates pour faire face aux différents vecteurs de menaces présents sur le réseau, facilement intégrables à l'ensemble de votre stack de sécurité. Lors de l'évaluation des solutions de fournisseurs, il est important de réaliser des comparaisons directes dans le cadre de preuves de concept. Chaque environnement est différent, et des tests indépendants et neutres pour la sécurité au niveau DNS n'ont pas encore été établis.
• Automatiser les réponses et pas seulement les alertes
  Pour protéger efficacement votre organisation, il est nécessaire de répondre automatiquement et pas seulement de recevoir des alertes. La rapidité avec laquelle les attaques sont menées rend les alertes et les signaux inefficaces. Lorsqu'une menace est identifiée, il peut déjà être trop tard. Votre équipe de sécurité doit être en mesure de déterminer automatiquement les menaces et de mettre en quarantaine les systèmes potentiellement infectés avant que d'autres dommages ne soient causés. Pour vous assurer que votre organisation suit les meilleures pratiques et optimise le service de sécurité DNS de Leonardo Networks, vous pouvez réaliser une évaluation des meilleures pratiques.

Source : paloaltonetworks.com