Uwaga na DNS Tunneling – pomysłowy cyberatak.

Zanim przejdziemy do tunelowania DNS (DNS Tunneling), należy przypomnieć, że Domain Name System (DNS) to protokół, który zamienia adresy Uniform Resource Locator (URL) na adresy IP zrozumiałe dla maszyn (np. 199.167.52.137) i odwrotnie, udostępniając nazwy czytelne dla człowieka.

DNS jest podstawowym protokołem internetu i często nazywany jest „książką adresową internetu", ponieważ przypisuje nazwy domen do adresów IP.

Powszechność DNS oraz ograniczone mechanizmy kontroli bezpieczeństwa z nim związane sprawiają, że często można go wykorzystać do komunikacji i wymiany danych w sposób wykraczający poza pierwotne przeznaczenie protokołu. Z tego powodu cyberprzestępcy dostrzegli w nim słaby punkt systemu, w którym mogą prowadzić działania szkodliwe.

Ponieważ ponadto DNS nie został zaprojektowany jako kanał do przesyłania danych, wiele organizacji nie monitoruje ruchu DNS pod kątem szkodliwej aktywności, w związku z czym różne rodzaje ataków wykorzystują tę platformę przeciwko sieciom firmowym. DNS Tunneling jest jednym z takich ataków.

Jak działa DNS Tunneling

Ataki typu DNS Tunneling wykorzystują protokół DNS do przemycania złośliwego oprogramowania i innych danych za pomocą modelu klient-serwer.

1. Atakujący rejestruje domenę, na przykład badsite.com. DNS łączy się następnie z zarejestrowanym serwerem, na którym zainstalowane jest złośliwe oprogramowanie do tunelowania.
2. Atakujący infekuje komputer, który często znajduje się za firewallem firmy. Ponieważ zapytania DNS są zawsze dozwolone w obu kierunkach przez firewall, zainfekowany komputer może wysłać zapytanie do DNS. DNS to serwer, który przekazuje zapytania o adresy IP do serwerów głównych (root) oraz serwerów domen najwyższego poziomu.
3. DNS kieruje zapytanie do serwera dowodzenia i kontroli (command and control) atakującego, na którym zainstalowany jest program do tunelowania. W ten sposób za pośrednictwem resolvera DNS zostaje nawiązane połączenie między ofiarą a atakującym. Tunel ten może być wykorzystywany do eksfiltracji danych lub do innych szkodliwych celów. Ponieważ nie istnieje bezpośrednie połączenie między atakującym a ofiarą, trudniej jest namierzyć komputer atakującego.

DNS Tunneling istnieje od prawie 20 lat. Do tunelowania DNS wykorzystywano zarówno malware Morto, jak i Feederbot. Do najnowszych ataków DNS Tunneling należą działania grupy DarkHydrus, która w 2018 roku obrała za cel instytucje rządowe na Bliskim Wschodzie, oraz grupy OilRig, działającej od 2016 roku i nadal aktywnej.

Zapobieganie DNS Tunneling

DNS to bardzo potężne narzędzie, używane wszędzie, które umożliwia aplikacjom i systemom wyszukiwanie zasobów i usług, z którymi mają współdziałać.

DNS stanowi podstawę komunikacji, dzięki której mogą działać bardziej zaawansowane i wydajne protokoły, ale z punktu widzenia bezpieczeństwa bywa pomijany, zwłaszcza jeśli weźmie się pod uwagę, jak dużo złośliwego oprogramowania jest rozprowadzane za pośrednictwem protokołów poczty elektronicznej lub pobierane z sieci przez HTTP.
Z tych powodów DNS jest idealnym wyborem dla przeciwników poszukujących protokołu zawsze otwartego, pomijanego i niedocenianego, który mogą wykorzystać do komunikacji z przejętymi hostami i od nich.
Organizacje mogą bronić się przed DNS Tunneling na różne sposoby, korzystając zarówno z platformy bezpieczeństwa sieciowego Leonardo Networks, jak i z technologii open source. Obrona może przybierać różne formy, w tym między innymi następujące:

• Blokowanie nazw domen (lub adresów IP albo regionów geograficznych) na podstawie znanej reputacji lub postrzeganego zagrożenia;
• Reguły dla „dziwnych" zapytań DNS;
• Reguły dotyczące długości, typu lub rozmiaru przychodzących i wychodzących zapytań DNS;
• Utwardzanie (hardening) systemów operacyjnych klientów oraz poznanie mechanizmów rozpoznawania nazw, a także ich określonej kolejności wyszukiwania;
• Analiza zachowania użytkowników i/lub systemów, która automatycznie wykrywa anomalie, takie jak dostęp do nowych domen, zwłaszcza gdy metoda dostępu i częstotliwość są nietypowe;

Najlepsze praktyki w zakresie bezpieczeństwa DNS

• Szkolenie i edukacja personelu odpowiedzialnego za bezpieczeństwo
  Wdrożyć program edukacji i podnoszenia świadomości w zakresie bezpieczeństwa, aby przeszkolić pracowników w rozpoznawaniu szkodliwych zagrożeń. Zachęcać ich do zachowania ostrożności podczas klikania linków, aby uniknąć zainstalowania malware. Szkolenia z phishingu mogą pomóc im rozpoznawać ataki przeprowadzane za pośrednictwem e-maili, unikać ich i zgłaszać.
• Wdrożenie programu threat intelligence
  Poznać krajobraz zagrożeń i uruchomić program threat intelligence, aby mieć świadomość różnych rodzajów zagrożeń i technik stosowanych obecnie przez atakujących. Dzięki tym informacjom można upewnić się, że dysponuje się odpowiednią technologią do zabezpieczenia sieci.
• Dowiedz się, co mogą Ci powiedzieć dane DNS
  Nie poprzestawaj na obserwowaniu ruchu DNS. Gromadzenie logów danych DNS ma niewielką wartość, jeśli nie rozumie się, co się obserwuje. Dzięki zrozumieniu danych możesz skutecznie przeciwdziałać nieznanym wcześniej zagrożeniom na poziomie DNS w swojej organizacji.
• Nie zwlekaj z zarządzaniem resolverem DNS
  Jeśli serwer DNS zostanie przejęty, może zwracać fałszywe odpowiedzi, kierując Twój ruch do innych przejętych systemów lub umożliwiając atak typu man-in-the-middle.
• Uwzględnij ryzyko związane z pracą zdalną
  Opracować strategię dla pracowników zdalnych, ponieważ może ona narażać wrażliwe dane firmy. Ostrzegać ich, aby nie korzystali z niezabezpieczonych, bezpłatnych lub publicznych sieci Wi-Fi, ponieważ przeciwnicy mogą łatwo wpiąć się pomiędzy pracowników a punkt połączenia. Wdrożyć uwierzytelnianie wieloskładnikowe i przygotować się na ryzyko zgubienia lub kradzieży urządzeń.
• Całościowe podejście do bezpieczeństwa sieci
  Przyjąć całościowe podejście do bezpieczeństwa sieci i upewnić się, że posiada się odpowiednie możliwości zwalczania różnych wektorów zagrożeń w sieci, łatwe do zintegrowania w całym stosie zabezpieczeń. Przy ocenie rozwiązań dostawców ważne jest bezpośrednie porównanie w ramach testów koncepcji (proof of concept). Każde środowisko jest inne, a niezależne i neutralne testy bezpieczeństwa na poziomie DNS nie zostały jeszcze ustanowione.
• Automatyzuj reakcje, a nie tylko alerty
  Aby skutecznie chronić swoją organizację, należy reagować automatycznie, a nie tylko otrzymywać alerty. Szybkość, z jaką przeprowadzane są ataki, sprawia, że alerty i sygnały są nieskuteczne. Gdy zagrożenie zostanie zidentyfikowane, może być już za późno. Twój zespół ds. bezpieczeństwa musi być w stanie automatycznie wykrywać zagrożenia i izolować w kwarantannie potencjalnie zainfekowane systemy, zanim wyrządzone zostaną większe szkody. Aby upewnić się, że Twoja organizacja stosuje najlepsze praktyki i optymalnie wykorzystuje usługę bezpieczeństwa DNS Leonardo Networks, można przeprowadzić ocenę pod kątem najlepszych praktyk.

Źródło: paloaltonetworks.com