Atenção ao DNS Tunneling, o ciberataque engenhoso.

Antes de falar de DNS Tunneling, é necessário recordar que o Domain Name System (DNS) é o protocolo que traduz os Uniform Resource Locator (URL) (endereços IP compreensíveis pela máquina, como 199.167.52.137) em nomes compreensíveis para o ser humano.

O DNS é um protocolo fundamental para a internet e é frequentemente descrito como a "lista telefónica da internet" porque associa os nomes de domínio aos endereços IP.

A difusão do DNS e os limitados controlos de segurança associados permitem frequentemente comunicar e trocar dados para além dos objetivos originais do protocolo. Por este motivo, os cibercriminosos identificaram este ponto fraco do sistema como local onde desenvolver atividades maliciosas.

Além disso, uma vez que o DNS não foi concebido como via de transporte de dados, muitas organizações não monitorizam o tráfego DNS para detetar eventuais atividades nocivas e, por conseguinte, diversos tipos de ataques utilizam esta plataforma contra as redes empresariais. O DNS Tunneling é um desses ataques.

Como funciona o DNS Tunneling

Os ataques de DNS Tunneling exploram o protocolo DNS para introduzir malware e outros dados através de um modelo cliente-servidor.

1. O atacante regista um domínio, como badsite.com. Consequentemente, o DNS estabelece contacto com esse servidor registado, no qual está instalado um programa de malware para tunneling.
2. O atacante infeta um computador, que se encontra frequentemente por trás da firewall de uma empresa. Uma vez que os pedidos DNS são sempre permitidos para o interior e para o exterior da firewall, o computador infetado pode enviar uma consulta ao DNS. O DNS é um servidor que reencaminha os pedidos de endereços IP para os servidores de raiz e para os servidores de domínio de topo.
3. O DNS encaminha a consulta para o servidor de comando e controlo do atacante, no qual está instalado o programa de tunneling. É então estabelecida uma ligação entre a vítima e o atacante através do resolvedor DNS. Este túnel pode ser utilizado para exfiltrar dados ou para outros fins maliciosos. Uma vez que não existe uma ligação direta entre o atacante e a vítima, é mais difícil localizar o computador do atacante.

O DNS Tunneling existe há quase 20 anos. Tanto o malware Morto como o Feederbot foram utilizados para DNS Tunneling. Entre os ataques de DNS Tunneling mais recentes contam-se os do grupo de ameaças DarkHydrus, que em 2018 visou entidades governamentais no Médio Oriente, e do OilRig, que opera desde 2016 e continua ativo.

Prevenir o DNS Tunneling

O DNS é uma ferramenta muito poderosa, utilizada em todo o lado, que permite às aplicações e aos sistemas procurar recursos e serviços com os quais interagir.

O DNS fornece uma base de comunicação que permite o funcionamento de protocolos mais avançados e poderosos, mas pode ser negligenciado do ponto de vista da segurança, sobretudo se se considerar a quantidade de malware que é distribuída através dos protocolos de correio eletrónico ou descarregada da web através de HTTP.
Por estas razões, o DNS é a escolha perfeita para os adversários que procuram um protocolo sempre aberto, negligenciado e subestimado, a explorar nas comunicações de e para anfitriões comprometidos.
As organizações podem defender-se do DNS Tunneling de várias formas, utilizando quer a plataforma de segurança de rede da Leonardo Networks, quer tecnologias open source. A defesa pode assumir diversas formas, entre as quais, mas não só, as seguintes:

• Bloquear nomes de domínio (ou endereços IP ou regiões geográficas) com base na reputação conhecida ou no perigo percecionado;
• Regras para consultas DNS "estranhas";
• Regras sobre o comprimento, o tipo ou a dimensão das consultas DNS de entrada e de saída;
• Reforçar a segurança dos sistemas operativos cliente e compreender as capacidades de resolução de nomes, bem como a respetiva ordem de pesquisa específica;
• Análise do comportamento dos utilizadores e/ou dos sistemas que detete automaticamente anomalias, como o acesso a novos domínios, especialmente quando o método de acesso e a frequência são anómalos;

As melhores práticas para a segurança DNS

• Formar e educar o pessoal de segurança
  Implementar um programa de educação e sensibilização para a segurança, a fim de formar o pessoal na identificação de ameaças maliciosas. Incentivá-lo a tomar precauções ao seguir links, para evitar a instalação de malware. A formação sobre phishing pode ajudá-lo a reconhecer, evitar e comunicar ataques por e-mail.
• Implementar um programa de threat intelligence
  Compreender o panorama das ameaças e ativar um programa de threat intelligence para ter conhecimento dos diferentes tipos de ameaças e das técnicas atualmente utilizadas pelos atacantes. Com estas informações, é possível assegurar que se dispõe da tecnologia adequada para manter a rede segura.
• Saber o que os dados DNS podem revelar
  Não se deve limitar a observação ao tráfego DNS. Recolher os registos dos dados DNS tem pouco valor se não se compreender o que se está a observar. Compreendendo os dados, é possível prevenir com êxito, ao nível do DNS, ameaças nunca vistas na organização.
• Não adiar a gestão de um resolvedor DNS
  Se um servidor DNS for comprometido, pode fornecer respostas falsas para direcionar o tráfego para outros sistemas comprometidos ou permitir um ataque man-in-the-middle.
• Planear o risco do trabalho remoto
  Desenvolver uma estratégia para os colaboradores em regime remoto, uma vez que pode colocar em risco os dados sensíveis da empresa. Alertá-los para que não utilizem redes Wi-Fi não seguras, gratuitas ou públicas, uma vez que os adversários podem facilmente interpor-se entre os colaboradores e o ponto de ligação. Integrar a autenticação multifator e preparar-se para o risco de dispositivos perdidos ou roubados.
• Abordar a segurança da rede de forma holística
  Adotar uma abordagem holística da segurança da rede e assegurar que se dispõe das capacidades adequadas para enfrentar os vários vetores de ameaças na rede, facilmente integráveis em toda a stack de segurança. Ao avaliar soluções de fornecedores, é importante fazer comparações diretas em provas de conceito. Cada ambiente é diferente e os testes independentes e neutros para a segurança ao nível do DNS ainda não foram estabelecidos.
• Automatizar as respostas e não apenas os alertas
  Para proteger com êxito a organização, é necessário responder automaticamente e não apenas receber alertas. A velocidade com que os ataques são executados torna os alertas e os sinais ineficazes. Quando uma ameaça é identificada, pode já ser demasiado tarde. A equipa de segurança deve ser capaz de determinar automaticamente as ameaças e colocar em quarentena os sistemas potencialmente infetados antes que sejam causados mais danos. Para garantir que a organização segue as melhores práticas e otimiza o serviço de segurança DNS da Leonardo Networks, é possível realizar uma avaliação das melhores práticas.

Fonte paloaltonetworks.com