Panduan untuk amplifikasi DNS yang dibahas di ADV200009

Ringkasan

Pada tanggal 19 Mei 2020, Microsoft merilis penasihat keamanan ADV200009. Penasihat ini menjelaskan serangan amplifikasi DNS yang telah diidentifikasi oleh peneliti Israel. Serangan tersebut, yang dikenal sebagai NXNSAttack, dapat menargetkan server DNS apa pun, termasuk server Microsoft DNS dan BIND yang otoritatif untuk zona DNS.

Untuk server DNS yang berada pada intranet perusahaan, Microsoft memtarif risiko eksploitasi ini sebagai rendah. Namun, server DNS yang berada di jaringan EDGE rentan terhadap NXNSAttack. Server DNS pra-Windows Server 2016 yang berada di jaringan EDGE harus dimutakhirkan ke Windows Server 2016 atau versi yang lebih baru yang mendukung batas tingkat respons (RRL). RRL mengurangi efek amplifikasi ketika singgahan pemecah masalah DNS bertarget menanyakan server DNS Anda.  

Gejala

Saat serangan amplifikasi DNS dibuat, Anda dapat mengamati satu atau beberapa gejala berikut ini di server yang terpengaruh:

• Penggunaan CPU untuk DNS ditinggikan.

• Peningkatan dan respons waktu respons DNS mungkin berhenti.

• Jumlah respons NXDOMAIN yang tidak diharapkan dihasilkan oleh server autentikasi Anda.

Gambaran umum serangan

Server DNS selalu rentan terhadap serangkaian serangan. Untuk alasan ini, server DNS umumnya diletakkan di belakang load Balancer dan firewall dalam DMZ.

Untuk memanfaatkan kerentanan ini, penyerang harus memiliki beberapa klien DNS. Biasanya, ini akan menyertakan botnet, Access ke lusinan atau ratusan resolver DNS yang mampu memperkuat serangan, dan layanan server DNS penyerang khusus.

Kunci untuk menyerang adalah penyerang server DNS yang diotorisasi untuk domain yang dimiliki penyerang. Agar serangan berhasil, resolver DNS harus mengetahui cara menjangkau domain dan server DNS penyerang. Kombinasi ini dapat menghasilkan banyak komunikasi antara resolver rekursif dan server DNS otoritatif korban. Hasilnya adalah serangan DDoS.

Kerentanan untuk MS DNS pada intranet perusahaan

Domain internal, privat tidak diatasi melalui petunjuk akar dan server DNS domain tingkat atas. Saat Anda mengikuti praktik terbaik, server DNS yang otoritatif untuk domain internal privat, seperti domain direktori aktif, tidak dapat dijangkau dari internet.

Meskipun NXNSAttack dari domain internal dari jaringan internal secara teknis memungkinkan, maka akan memerlukan pengguna jahat pada jaringan internal yang memiliki akses tingkat administrator untuk mengonfigurasi server DNS internal guna mengarahkan server DNS di domain penyerang. Pengguna ini juga harus dapat membuat zona berbahaya pada jaringan dan meletakkan server DNS khusus yang mampu melakukan NXNSAttack pada jaringan korporat. Pengguna yang memiliki tingkat akses ini umumnya akan mendukung Stealth tentang mengumumkan kehadiran mereka dengan memulai serangan DDoS DNS yang sangat terlihat.  

Kerentanan untuk Edge-Facing MS DNS

Singgahan pemecah masalah DNS di Internet menggunakan petunjuk akar dan server domain tingkat atas (TLD) untuk mengatasi domain DNS yang tidak diketahui. Penyerang dapat menggunakan sistem DNS publik ini untuk menggunakan singgahan pemecah masalah DNS yang dihadapi internet untuk mencoba amplifikasi nxnsattack. Setelah vektor amplifikasi ditemukan, ini bisa digunakan sebagai bagian dari serangan Denial of Service (DDoS) terhadap server DNS apa pun yang menghosting domain DNS publik (domain korban).

Server DNS Edge yang bertindak sebagai penyelesai atau forwarder dapat digunakan sebagai vektor amplifikasi untuk serangan jika kueri DNS masuk yang tidak diminta yang berasal dari Internet diperbolehkan. Akses publik memungkinkan klien DNS perusak yang berbahaya menggunakan penyelesai sebagai bagian dari serangan amplifikasi keseluruhan.

Server DNS otoritatif untuk domain publik harus memperbolehkan Traffic DNS masuk yang tidak diminta dari resolver yang melakukan pencarian berulang dari akar petunjuk dan infrastruktur DNS TLD. Jika tidak, akses ke domain gagal. Hal ini menyebabkan semua server DNS otoritatif domain publik menjadi kemungkinan korban NXNSAttack. Edge-berhadapan dengan server Microsoft DNS harus menjalankan Windows Server 2016 atau versi yang lebih baru untuk mendapatkan dukungan RRL.