經銷商專區｜登入
〔最新消息〕2021-01-20
DNS安全，一個永無止境的故事
沒有DNS就沒有互聯網，但同樣的DNS卻能使惡意活動成為可能，並為攻擊者提供了一個非常有吸引力的目標。
網域名稱系統(DNS)是必不可少的互聯網電話簿，將人類可讀的主機名稱映射成機器可讀的IP位址。沒有DNS，互聯網就無法運行。當他們的DNS服務退化或停止時，線上業務就會被中斷，他們失去收入，他們的聲譽也岌岌可危。
2016年10月，Mirai DDoS攻擊以DynDNS為目標，使美國的Twitter、Reddit、Spotify、Github和許多其他流行的互聯網服務癱瘓數小時，DNS攻擊的巨大影響可見一斑。
2019年10月，針對亞馬遜網路服務（AWS）的53號路由的DDoS攻擊使客戶無法訪問AWS託管服務達8小時。
為什麼DNS對攻擊者有如此大的吸引力？
攻擊者已經開發出了利用DNS的分層基礎設施弱點和協定漏洞對DNS服務發動攻擊的技術，目標是遞迴解析器或權威伺服器。但是，是什麼讓DNS成為一個如此有吸引力的攻擊載體呢？
1. DNS對所有人開放
DNS基礎設施必須是開放的，任何人都可以訪問，以保持互聯網的運行。私有網路至少需要允許出站DNS通信，以便為其使用者提供互聯網服務。這為包括攻擊者在內的所有人提供了開放的訪問。攻擊者可以利用隧道技術將資料封裝在DNS協定內，以達到各種目的，如機密資料的外泄或與指揮控制伺服器進行秘密資訊傳遞。
2. 放大效應
DNS查詢通常會返回相對較小的回應。然而，一個特別製作的DNS請求可以返回的響應是請求大小的50到100倍。攻擊者利用DNS的這一特性放大DDoS攻擊，實現更高的攻擊量。
3. 反射和DNS欺騙
DNS是一個無狀態協定，主要依靠UDP來保證可擴展和快速運行。這使得DNS對於攻擊者來說非常有吸引力，他們可以通過欺騙來輕易地隱藏自己的身份。任何攻擊者都可以製作一個查詢來針對協力廠商受害者。將這種欺騙技術與放大技術相結合，就會產生非常大的響應洪流向受害者。
4. 遞迴解析器是一個容易被攻擊的目標
DNS遞迴解析器的作用是為使用者和設備提供主機名稱到IP的轉換服務。遞迴解析器從根級到頂層網域名對DNS層次結構進行查詢，直到到達功能變數名稱伺服器。解析過程是反覆運算的，即遞迴解析器對層次結構中的每一級功能變數名稱完成一個查詢-回應週期，直到到達功能變數名稱伺服器。層次結構中的每個域伺服器委託下一個域層次作為遞迴解析器的下一個目標，以此類推，直到到達主機。為了保證有效性，遞迴解析器會將回應進行緩存，以避免下次對這個功能變數名稱進行查詢時進行完整的反覆運算過程。
5. NXDomain攻擊和負緩存
在NXDomain攻擊中，也稱為隨機子域攻擊或DNS水刑，攻擊者用隨機生成的目標域的子域製作查詢。這些隨機生成的子域將不存在於遞迴解析器的緩存中，從而導致遞迴解析器使用上述完整的反覆運算過程聯繫目標域的權威DNS。
2016年10月，Mirai物聯網對DynDNS的攻擊就採用了NXDomain攻擊技術。大量的Mirai機器人大軍以特定受害者的功能變數名稱為目標，用虛假請求淹沒其功能變數名稱伺服器，不僅造成受害者的拒絕服務，還對同一功能變數名稱服務的其他功能變數名稱造成了大量的連帶損害。
NXDomain 攻擊技術還可以針對遞迴解析器，由於緩存丟失事件導致對 DNS 層次結構的反復查詢和負緩存（負緩存是指解析器的緩存被攻擊引起的隨機和無用的回應耗盡），從而導致解析器性能嚴重下降。消極緩存損害了遞迴解析器克服此類攻擊的效率和彈性，從而使攻擊影響更加嚴重。
6. NXNSAttack攻擊
2020年5月19日，來自以色列特拉維夫大學和The Interdisciplinary Center的學者發現了DNS遞迴解析器實現中的一個漏洞，該漏洞可以被濫用來對任何受害者發起破壞性的DDoS攻擊。利用該漏洞進行的攻擊被研究人員稱為NXNSAttack。Radware在此發佈了詳細的威脅諮詢。
與直接針對和影響主機或服務的DDoS洪水或應用級DDoS攻擊不同，NXNSAttack針對的是受害者的功能變數名稱解析能力。與NXDOMAIN或DNS水折磨攻擊一樣，該DDoS攻擊的目的是通過遞迴DNS解析器，使用隨機功能變數名稱請求洪流，用無效請求使其超載，從而擾亂功能變數名稱的權威伺服器。由於請求來源於合法的遞迴DNS伺服器，所以這種攻擊很難在權威伺服器處被檢測和緩解。
通過破壞功能變數名稱的名稱解析，攻擊者有效地阻止了對該功能變數名稱下提供的所有服務的訪問。新客戶在受到攻擊時將無法解析服務的主機名稱，因為他們無法定位連接到服務的IP位址。
與NXDOMAIN攻擊有限的3倍數據包放大係數不同，NXNSAttack提供的資料包放大係數從攻擊子域（victor.com）時的74倍到針對遞迴解析器時的1621倍不等。頻寬放大係數在攻擊子域時為21倍，針對遞迴解析器時為163倍。針對根域伺服器和頂層域伺服器時，資料包放大係數為1071x，頻寬放大係數為99x。NXNSAttack具有較高的放大率和靈活的攻擊目標，是一種非常有能力的攻擊載體，可以進行大規模的攻擊。
此後，研究人員披露了該漏洞，並聯繫了已經為其軟體和伺服器打過補丁的廠商和供應商。即使披露了這個漏洞，也可以肯定的是，並不是所有的遞迴解析器，不管是私有的還是公共的，都已經或者永遠不會被打上補丁。因此，這個載體仍然是一個主要的威脅，可以對DNS基礎設施產生破壞性的影響。
DNS安全的長篇小說
2005年，通過RFC 4033、RFC 4034和RFC 4035引入了DNS安全擴展（DNSSEC），試圖防止欺騙和中間人攻擊。雖然DNSSEC旨在提供源頭認證和資料完整性，但它並不涉及可用性或保密性。此外，DNSSEC的採用仍然是一個長期的挑戰，而且進展緩慢。DNSSEC僅在大多數頂層網域(TLD)上啟用，但在TLD之外並未廣泛使用。
2018年提出了另一項DNS增強功能，即DNS over HTTPS或DoH（RFC 8484）。DoH的目的是通過防止竊聽和通過中間人攻擊操縱DNS資料來提高隱私性和安全性。
DNSSEC和DoH都可以幫助認證、隱私和完整性；但是，它們不能防止查詢氾濫、NXDomain和NXNSDomain攻擊。在某些情況下，DNSSEC和DoH可能弊大於利，因為它可以幫助惡意行為者更好地隱藏，並使中介軟體安全提供商更難檢測和防止惡意或隨機功能變數名稱。
如何確保DNS的可用性和安全性？
那麼，組織可以做些什麼來確保DNS的可用性和DNS基礎設施的安全呢？
不妥善保護DNS基礎設施的安全，就像給網路犯罪分子留下了一扇敞開的窗戶--為他們提供了自由訪問您的網路和資源的機會，並威脅到您的線上業務的可用性。
原文連結
網域名稱系統(DNS)是必不可少的互聯網電話簿，將人類可讀的主機名稱映射成機器可讀的IP位址。沒有DNS，互聯網就無法運行。當他們的DNS服務退化或停止時，線上業務就會被中斷，他們失去收入，他們的聲譽也岌岌可危。
2016年10月，Mirai DDoS攻擊以DynDNS為目標，使美國的Twitter、Reddit、Spotify、Github和許多其他流行的互聯網服務癱瘓數小時，DNS攻擊的巨大影響可見一斑。
2019年10月，針對亞馬遜網路服務（AWS）的53號路由的DDoS攻擊使客戶無法訪問AWS託管服務達8小時。
為什麼DNS對攻擊者有如此大的吸引力？
攻擊者已經開發出了利用DNS的分層基礎設施弱點和協定漏洞對DNS服務發動攻擊的技術，目標是遞迴解析器或權威伺服器。但是，是什麼讓DNS成為一個如此有吸引力的攻擊載體呢？
1. DNS對所有人開放
DNS基礎設施必須是開放的，任何人都可以訪問，以保持互聯網的運行。私有網路至少需要允許出站DNS通信，以便為其使用者提供互聯網服務。這為包括攻擊者在內的所有人提供了開放的訪問。攻擊者可以利用隧道技術將資料封裝在DNS協定內，以達到各種目的，如機密資料的外泄或與指揮控制伺服器進行秘密資訊傳遞。
2. 放大效應
DNS查詢通常會返回相對較小的回應。然而，一個特別製作的DNS請求可以返回的響應是請求大小的50到100倍。攻擊者利用DNS的這一特性放大DDoS攻擊，實現更高的攻擊量。
3. 反射和DNS欺騙
DNS是一個無狀態協定，主要依靠UDP來保證可擴展和快速運行。這使得DNS對於攻擊者來說非常有吸引力，他們可以通過欺騙來輕易地隱藏自己的身份。任何攻擊者都可以製作一個查詢來針對協力廠商受害者。將這種欺騙技術與放大技術相結合，就會產生非常大的響應洪流向受害者。
4. 遞迴解析器是一個容易被攻擊的目標
DNS遞迴解析器的作用是為使用者和設備提供主機名稱到IP的轉換服務。遞迴解析器從根級到頂層網域名對DNS層次結構進行查詢，直到到達功能變數名稱伺服器。解析過程是反覆運算的，即遞迴解析器對層次結構中的每一級功能變數名稱完成一個查詢-回應週期，直到到達功能變數名稱伺服器。層次結構中的每個域伺服器委託下一個域層次作為遞迴解析器的下一個目標，以此類推，直到到達主機。為了保證有效性，遞迴解析器會將回應進行緩存，以避免下次對這個功能變數名稱進行查詢時進行完整的反覆運算過程。
5. NXDomain攻擊和負緩存
在NXDomain攻擊中，也稱為隨機子域攻擊或DNS水刑，攻擊者用隨機生成的目標域的子域製作查詢。這些隨機生成的子域將不存在於遞迴解析器的緩存中，從而導致遞迴解析器使用上述完整的反覆運算過程聯繫目標域的權威DNS。
2016年10月，Mirai物聯網對DynDNS的攻擊就採用了NXDomain攻擊技術。大量的Mirai機器人大軍以特定受害者的功能變數名稱為目標，用虛假請求淹沒其功能變數名稱伺服器，不僅造成受害者的拒絕服務，還對同一功能變數名稱服務的其他功能變數名稱造成了大量的連帶損害。
NXDomain 攻擊技術還可以針對遞迴解析器，由於緩存丟失事件導致對 DNS 層次結構的反復查詢和負緩存（負緩存是指解析器的緩存被攻擊引起的隨機和無用的回應耗盡），從而導致解析器性能嚴重下降。消極緩存損害了遞迴解析器克服此類攻擊的效率和彈性，從而使攻擊影響更加嚴重。
6. NXNSAttack攻擊
2020年5月19日，來自以色列特拉維夫大學和The Interdisciplinary Center的學者發現了DNS遞迴解析器實現中的一個漏洞，該漏洞可以被濫用來對任何受害者發起破壞性的DDoS攻擊。利用該漏洞進行的攻擊被研究人員稱為NXNSAttack。Radware在此發佈了詳細的威脅諮詢。
與直接針對和影響主機或服務的DDoS洪水或應用級DDoS攻擊不同，NXNSAttack針對的是受害者的功能變數名稱解析能力。與NXDOMAIN或DNS水折磨攻擊一樣，該DDoS攻擊的目的是通過遞迴DNS解析器，使用隨機功能變數名稱請求洪流，用無效請求使其超載，從而擾亂功能變數名稱的權威伺服器。由於請求來源於合法的遞迴DNS伺服器，所以這種攻擊很難在權威伺服器處被檢測和緩解。
通過破壞功能變數名稱的名稱解析，攻擊者有效地阻止了對該功能變數名稱下提供的所有服務的訪問。新客戶在受到攻擊時將無法解析服務的主機名稱，因為他們無法定位連接到服務的IP位址。
與NXDOMAIN攻擊有限的3倍數據包放大係數不同，NXNSAttack提供的資料包放大係數從攻擊子域（victor.com）時的74倍到針對遞迴解析器時的1621倍不等。頻寬放大係數在攻擊子域時為21倍，針對遞迴解析器時為163倍。針對根域伺服器和頂層域伺服器時，資料包放大係數為1071x，頻寬放大係數為99x。NXNSAttack具有較高的放大率和靈活的攻擊目標，是一種非常有能力的攻擊載體，可以進行大規模的攻擊。
此後，研究人員披露了該漏洞，並聯繫了已經為其軟體和伺服器打過補丁的廠商和供應商。即使披露了這個漏洞，也可以肯定的是，並不是所有的遞迴解析器，不管是私有的還是公共的，都已經或者永遠不會被打上補丁。因此，這個載體仍然是一個主要的威脅，可以對DNS基礎設施產生破壞性的影響。
DNS安全的長篇小說
2005年，通過RFC 4033、RFC 4034和RFC 4035引入了DNS安全擴展（DNSSEC），試圖防止欺騙和中間人攻擊。雖然DNSSEC旨在提供源頭認證和資料完整性，但它並不涉及可用性或保密性。此外，DNSSEC的採用仍然是一個長期的挑戰，而且進展緩慢。DNSSEC僅在大多數頂層網域(TLD)上啟用，但在TLD之外並未廣泛使用。
2018年提出了另一項DNS增強功能，即DNS over HTTPS或DoH（RFC 8484）。DoH的目的是通過防止竊聽和通過中間人攻擊操縱DNS資料來提高隱私性和安全性。
DNSSEC和DoH都可以幫助認證、隱私和完整性；但是，它們不能防止查詢氾濫、NXDomain和NXNSDomain攻擊。在某些情況下，DNSSEC和DoH可能弊大於利，因為它可以幫助惡意行為者更好地隱藏，並使中介軟體安全提供商更難檢測和防止惡意或隨機功能變數名稱。
如何確保DNS的可用性和安全性？
那麼，組織可以做些什麼來確保DNS的可用性和DNS基礎設施的安全呢？
- 確保 "週邊 "的安全--正如反復證明的那樣，體積化的DNS攻擊會威脅到整個基礎設施，並且會使入口管道飽和。僅在網路內部提供DNS安全解決方案對這種威脅是無用的。一個稱職的DNS周邊安全解決方案是保護這一關鍵基礎設施的關鍵。
- 使用 "無狀態 "安全--高容量洪流會消耗DNS防火牆和DNS伺服器等有狀態設備的資源。為了防止這種洪流，你需要一個 "無狀態 "安全解決方案。
- 準確檢測--DNS安全解決方案必須即時準確區分好的和壞的DNS請求，然後只允許好的DNS請求進入受保護的伺服器。要實現高檢測精度，需要使用行為演算法，以檢測和緩解新出現的零日DNS攻擊。
- 早期檢測-DNS防火牆和其他有狀態的安全系統需要雙向的流量跟蹤來應用安全。這些解決方案通常依靠 "壞 "DNS回應（即NXDomain）進行檢測。在上面解釋的一些場景中，在返回 "壞 "響應的指示之前，DNS伺服器可能會受到假請求的嚴重影響。您需要一個依靠入口檢測的安全解決方案，即一個能夠僅基於入口請求檢測和減輕攻擊的解決方案，並從一開始就防止不良查詢進入您的DNS基礎設施。
不妥善保護DNS基礎設施的安全，就像給網路犯罪分子留下了一扇敞開的窗戶--為他們提供了自由訪問您的網路和資源的機會，並威脅到您的線上業務的可用性。
原文連結
