Norādījumi par DNS pastiprinājumu, kas apspriesti ADV200009

Abstrakts

2020 maijā Microsoft izlaida drošības padomdevēja ADV200009. Šajā padomdevēja rakstā ir sniegts DNS pastiprinājuma uzbrukums, ko atklāja Izraēlas zinātnieki. Uzbrukt, kas tiek dēvēts par NXNSAttack, var norādīt uz jebkuru DNS serveri, tostarp Microsoft DNS un SAISTĪT serverus, kas ir autoritatīvi attiecībā uz DNS zonu.

Attiecībā uz DNS serveriem, kas atrodas korporatīvajā iekštīklā, korporācija Microsoft vērtē risku, ka tas tiek izmantots kā mazs. Taču DNS serveri, kas atrodas EDGE tīklos, ir neaizsargāti pret NXNSAttack. Iepriekš Windows Server 2016 DNS serveri, kas atrodas EDGE tīklos, ir jājaunina uz Windows Server 2016 vai jaunākām versijām, kas atbalsta atbilžu ātruma ierobežojumu (RRL). RRL samazina pastiprinājuma efektu, ja noteiktais DNS atrisinātājs vaicā jūsu DNS serverus.  

Simptomi

Kad ir veikts DNS pastiprinājuma uzbrukums, jūs var novērot vienu vai vairākas no šīm pazīmēm attiecīgajā serverī.

• Ir paaugstināts centrālā procesora lietojums DNS.

• DNS atbilžu laiku pieaugums un atbildes var tikt apturētas.

• Negaidītu skaitu NXDOMAIN atbilžu ģenerē jūsu autentifikācijas serveris.

Uzbrukuma pārskats

DNS serveri vienmēr ir bijuši neaizsargāti pret uzbrukumu masīvu. Šī iemesla dēļ DNS serveri parasti tiek novietoti aiz slodzes balansētājiem un ugunsmūriem DMZ.

Lai izmantotu šo problēmu, uzbrucējam būtu jāatrodas vairākiem DNS klientiem. Parasti tas iekļauj botu, piekļuvi dučiem vai simtiem DNS atrisinātāja, kas spēj pastiprināt uzbrukumu, kā arī specializētu uzbrucēju DNS servera pakalpojumu.

Uzbrukuma atslēga ir īpaši izcelts uzbrucēja DNS serveris, kas ir autoritatīvs domēnam, kuram pieder uzbrucējs. Lai uzbrukums būtu sekmīgs, DNS atrisinātājam ir jāzina, kā sasniegt uzbrucēja domēnu un DNS serveri. Šī kombinācija var izveidot daudz sazināšanos starp rekursīvajām rerisinātājam un cietušā autoritatīvo DNS serveri. Rezultāts ir DDoS uzbrukums.

MS DNS ievainojamība korporatīvajā iekštīklā

Iekšēji privātie domēni netiek atšķirami no saknes ieteikumiem un augšējā līmeņa domēna DNS serveriem. Ja ievērosit paraugpraksi, DNS serveri, kas ir autoritatīvi privātiem, iekšējiem domēniem, piemēram, Active Directory domēni, nav sasniedzami no interneta.

Lai gan iekšējā domēna NXNSAttack no iekšējā tīkla ir tehniski iespējama, tam ir nepieciešams ļaunprātīgs lietotājs iekšējā tīklā, kuram ir administratora līmeņa piekļuve, lai konfigurētu iekšējos DNS serverus un norādītu uz DNS serveriem uzbrucēja domēnā. Šim lietotājam ir jāspēj arī izveidot tīklā ļaunprātīgu zonu un ievietot īpašu DNS serveri, kas var veikt uzņēmuma tīklā esošo NXNSAttack. Lietotājs, kuram ir šis Access līmenis, parasti ir piešķirams ar informāciju par to klātbūtnes paziņojumu, uzsāciet ļoti redzamu DNS DDoS uzbrukumu.  

Ievainojamība ar Edge-Facing MS DNS

DNS atrisinātājs internetā izmanto saknes ieteikumus un augšējā līmeņa domēnu (TLD) serverus, lai novērstu nezināmus DNS domēnus. Uzbrucējs var izmantot šo publisko DNS sistēmu, lai izmantotu jebkuru Internet-Facing DNS atrisinātājs un izmēģinātu NXNSAttack pastiprinājumu. Pēc tam, kad ir atrasts pastiprinājuma vektors, to var izmantot kā daļu no pakalpojuma pakalpojumatteices (DDoS) uzbrukuma pret jebkuru DNS serveri, kas vieso publisko DNS domēnu (cietušā domēns).

Malas DNS serveri, kas darbojas kā atrisinātājs vai pārsūtītājs, var izmantot kā pastiprinājuma vektoru uzbrukumam, ja ir atļauti nelūgti ienākošie DNS vaicājumi, kas nāk no interneta. Publiska piekļuve ļauj ļaunprātīgam DNS klientam izmantot atrisinātājs kā daļu no kopējā pastiprinājuma uzbrukuma.

Autoritatīvajiem DNS serveriem publiskajos domēnos ir jāatļauj nelūgta ienākošā DNS datplūsma no risinātāja, kas veic Rekursīvas meklēšanas no saknes ieteikumiem un TLD DNS infrastruktūras. Pretējā gadījumā piekļuve domēnam neizdevās. Tādējādi visi publiskie domēna autoritatīvie DNS serveri ir iespējami NXNSAttack upuri. Microsoft DNS serveriem ar kontūrām jādarbojas Windows Server 2016 vai jaunākā versijā, lai iegūtu RRL atbalstu.