Was ist DNS-Sicherheit?

Wie DNS bei Angriffen verwendet wird

Zu den Bedrohungen gehören Angriffe auf die DNS-Infrastruktur:

• Distributed Denial of Service (DDoS): Die DNS-Infrastruktur ist für das Funktionieren des Internets unerlässlich. DDoS-Angriffe gegen DNS können Websites unerreichbar machen, indem sie die DNS-Server, die sie bedienen, nicht verfügbar machen, indem sie das Netzwerk mit scheinbar legitimem Datenverkehr überlasten. Ein klassisches Beispiel hierfür ist der DDoS-Angriff auf Dyn im Jahr 2016, bei dem eine Armee von Bots, die auf mit dem Internet verbundenen Kameras gehostet wurden, Ausfälle auf vielen großen Websites verursachte, darunter Amazon, Netflix, Spotify und Twitter.
• DNS-DDoS-Verstärkung: DNS verwendet UDP, ein verbindungsloses Protokoll, für den Transport, was bedeutet, dass ein Angreifer die Quelladresse einer DNS-Anfrage fälschen und die Antwort an eine IP-Adresse seiner Wahl senden kann. Darüber hinaus können DNS-Antworten viel umfangreicher sein als die entsprechenden Anfragen. DDoS-Angreifer machen sich diese Faktoren zunutze, um ihre Angriffe zu verstärken, indem sie eine kleine Anfrage an einen DNS-Server senden und eine massive Antwort an das Ziel zurücksenden lassen. Dies führt zu einem DoS des Zielhosts.
• Andere Denial-of-Service-Angriffe (DoS): Neben netzwerkbasierten DDoS-Angriffen können auch Anwendungen, die auf DNS-Servern ausgeführt werden, Ziel von DoS-Angriffen sein. Diese Angriffe zielen darauf ab, Schwachstellen in der DNS-Serveranwendung auszunutzen, sodass sie nicht in der Lage sind, auf legitime Anfragen zu reagieren.

Auch DNS kann missbraucht und für Cyberangriffe genutzt werden. Beispiele für den Missbrauch von DNS sind:

• DNS-Hijacking: Unter DNS-Hijacking versteht man jeden Angriff, der einem Benutzer vorgaukelt, dass er sich mit einer legitimen Domäne verbindet, während er tatsächlich mit einer bösartigen Domäne verbunden ist. Dies kann durch einen kompromittierten oder böswilligen DNS-Server erreicht werden oder indem ein DNS-Server dazu gebracht wird, falsche DNS-Daten zu speichern (ein Angriff, der als Cache-Poisoning bezeichnet wird).
• DNS-Tunneling: Da es sich bei DNS um ein vertrauenswürdiges Protokoll handelt, erlauben die meisten Organisationen, dass es frei in ihr Netzwerk eindringt und es verlässt. Cyberkriminelle nutzen DNS zur Datenexfiltration mit Malware, deren DNS-Anfragen die exfiltrierten Daten enthalten. Da der Ziel-DNS-Server in der Regel vom Eigentümer der Ziel-Website kontrolliert wird, stellen die Angreifer sicher, dass die Daten einen Server erreichen, wo sie von ihnen verarbeitet werden können, und eine Antwort im DNS-Antwortpaket gesendet wird.
• Sicherheitsumgehung mit zufälligen Domänennamen (DGA): Bedrohungsakteure verwenden ausgefeilte Algorithmen, um mithilfe eines Domänengenerierungsalgorithmus (DGA) Hunderttausende brandneue Domänennamen zu generieren. Malware, die sich auf einem infizierten Computer befindet, nutzt dann diese brandneuen Domänennamen, um der Erkennung zu entgehen und eine Verbindung zum externen Command-and-Control-Server des Hackers herzustellen. Herkömmliche Sicherheitslösungen sind nicht schnell genug, um festzustellen, ob diese Domänen bösartig sind oder nicht, und lassen sie daher standardmäßig passieren.

Analytics, Bedrohungsinformationen und Threat Hunting

Die Überwachung Ihres DNS-Verkehrs kann für Ihre Security Operations Center (SOC)-Teams eine wertvolle Datenquelle sein, wenn sie den Sicherheitsstatus Ihres Unternehmens überwachen und analysieren. Neben der Überwachung Firewall auf DNS Indicators of Compromise (IoC) können SOC-Teams auch nach Lookalike-Domains Ausschau halten.