Wskazówki dotyczące wzmocnienia systemu DNS omówione w ADV200009

Wydobywa

19 maja 2020 r. Firma Microsoft wydała Poradnik zabezpieczeń ADV200009. Niniejszy poradnik zawiera opis ataku polegającego na wzkorzystaniu systemu DNS zidentyfikowanego przez izraelskich naukowców. Ataki, nazywane NXNSAttack, mogą dotyczyć dowolnego serwera DNS, w tym usługi DNS firmy Microsoft i serwerów BIND, które są autorytatywne dla strefy DNS.

W przypadku serwerów DNS, które znajdują się w firmowych sieciach intranet, firma Microsoft ocenia ryzyko tej luki w zabezpieczeniach jako niskie. Jednak serwery DNS, które rezydują w sieciach Edge, są narażone na NXNSAttack. Serwery DNS starsze niż Windows Server 2016, które rezydują w sieciach Edge, powinny zostać uaktualnione do systemu Windows Server w wersji 2016 lub nowszej, który obsługuje limit szybkości odpowiedzi (RRL). RRL zmniejsza efekt wzmocnienia, gdy docelowy program DNS sprawdza kwerendy serwerów DNS.  

Symptomy

Po przeprowadzonym ataku za pośrednictwem systemu DNS można obserwować jeden lub więcej z następujących objawów na serwerze, którego dotyczy problem:

• Użycie procesora przez usługę DNS jest podwyższone.

• Wzrastające czasy odpowiedzi DNS i odpowiedzi mogą być przerywane.

• Serwer uwierzytelniania wygenerował niespodziewaną liczbę odpowiedzi NXDOMAIN.

Omówienie ataku

Serwery DNS zawsze były narażone na ataki. Z tego powodu serwery DNS są zwykle umieszczane za pomocą modułów równoważenia obciążenia i zapór w DMZ.

Aby wykorzystać tę lukę, osoba atakująca musi mieć wielu klientów DNS. Zwykle obejmuje to botnet, dostęp do dziesiątek lub setek nazw DNS, które mogą wzmocnić atak, oraz wyspecjalizowanej usługi serwera DNS.

Kluczem do ataku jest specjalnie zbudowany serwer DNS, który jest autorytatywny dla domeny, której właścicielem jest osoba atakująca. Aby atak przeprowadzony w ten sposób powiódł się, rozpoznawanie nazw DNS musi dowiedzieć się, jak dotrzeć do domeny i serwera DNS osoby atakującej. Ta kombinacja może generować wiele informacji między rozpoznawaniem cyklicznym a autorytatywnym serwerem DNS ofiarą. Wynikiem jest atak DDoS.

Luka w zabezpieczeniach usługi MS DNS w firmowych sieciach intranet

Wewnętrzne, prywatne domeny nie są rozpoznawane za pośrednictwem wskazówek głównych i serwerów DNS domeny najwyższego poziomu. Po wykonaniu najważniejszych wskazówek serwery DNS, które są autorytatywne dla prywatnych, domen wewnętrznych, takich jak domeny usługi Active Directory, nie są dostępne z Internetu.

Chociaż NXNSAttack domeny wewnętrznej z sieci wewnętrznej jest technicznie możliwe, wymaga to złośliwego użytkownika w sieci wewnętrznej, który ma dostęp na poziomie administratora, aby skonfigurować wewnętrzne serwery DNS, aby wskazywały serwery DNS w domenie ataku. Ten użytkownik musi być również w stanie utworzyć niebezpieczną strefę w sieci i umieścić specjalny serwer DNS, który umożliwia prowadzenie NXNSAttack w sieci firmowej. Użytkownik mający ten poziom dostępu będzie na ogół niewidoczny dla wypowiedzenia ich obecności przez zainicjowanie bardzo widocznego ataku DDoS DNS.  

Luka w zabezpieczeniach usługi MS DNS dla komputerów z systemem Edge

Program rozpoznawania nazw DNS w Internecie korzysta ze wskazówek dotyczących serwerów głównych i domen najwyższego poziomu, aby rozpoznać nieznane domeny DNS. Osoba atakująca może wykorzystać ten publiczny system DNS do korzystania z internetowego programu rozpoznawania nazw DNS, aby wypróbować wzmocnienie NXNSAttack. Po wykryciu wektora wzmocnienia można go użyć w ramach ataku typu odmowa usługi (DDoS) na dowolny serwer DNS, który obsługuje publiczną domenę DNS (domenę ofiarą).

W celu ataku można wykorzystać graniczny serwer DNS, który działa jako mechanizm rozwiązywania problemów lub przesyłania dalej, jeśli nie są dozwolone przychodzące zapytania DNS, które pochodzą z Internetu. Dostęp publiczny umożliwia złośliwemu klientowi DNS korzystanie z resolvera w ramach ogólnego ataku na wzmocnienie.

Autorytatywne serwery DNS dla domen publicznych muszą zezwalać na niechciany ruch DNS od tłumaczy, którzy przeprowadzają wyszukiwania rekursywne z głównych wskazówek i domeny najwyższego poziomu systemu DNS. W przeciwnym razie nie uda się uzyskać dostępu do domeny. Spowoduje to, że wszyscy serwery DNS domeny publicznej będą mogli ofiary NXNSAttack. Aby uzyskać pomoc techniczną RRL, na krawędzi serwery DNS firmy Microsoft powinny działać systemy Windows Server 2016 lub nowsza wersja.