Pokyny pre zosilnenie DNS prediskutované v ADV200009

Abstraktné

19. mája 2020 spoločnosť Microsoft vydala bezpečnostné poradenstvo ADV200009. Tento poradný článok popisuje útok na zosilnenie DNS, ktorý určili izraelskí vedci. Útok, známy ako NXNSAttack, sa môže zacieliť na akýkoľvek server DNS vrátane serverov DNS a BIND servery, ktoré sú smerodajné pre zónu DNS.

Pre servery DNS, ktoré sú umiestnené na firemných intranetoch, spoločnosť Microsoft sadzby riziko tohto zneužitia je nízka. Servery DNS, ktoré sú umiestnené v sieti Edge, sú však zraniteľné voči NXNSAttack. Servery DNS pre Windows Server 2016, ktoré sú umiestnené v sieti Edge, by sa mali inovovať na Windows Server 2016 alebo novšie verzie, ktoré podporujú obmedzenie počtu odpovedí (RRL). RRL redukuje efekt zosilnenia v prípade, že cieľový Prekladač DNS vyhľadáva servery DNS.  

Príznaky

Keď sa vytvorí útok na zosilnenie DNS, môžete pozorovať niektoré z nasledujúcich príznakov na príslušnom serveri:

• Používanie CPU pre DNS je zvýšené.

• Čas odozvy DNS sa môže predĺžiť a odozva sa môže zastaviť.

• Neočakávaný počet odpovedí NXDOMAIN vygeneruje overovací server.

Prehľad útoku

Servery DNS boli vždy citlivé na pole útokov. Z tohto dôvodu sa servery DNS vo všeobecnosti umiestnia za load balancere a brány firewall v DMZ.

Ak chcete túto napadnuteľnosť využiť, útočník bude musieť mať viacero klientov DNS. Zvyčajne by to malo zahŕňať botnet, prístup k desiatkam alebo stovkám reriešiteľov DNS, ktoré dokážu zosilniť útok a špecializovanú službu DNS servera pre útočníkov.

Kľúčom k útoku je špeciálne vstavaný server DNS útočník, ktorý je autoritatívnym serverom pre doménu, ktorú vlastní útočník. Ak chcete, aby bol útok úspešný, prekladače DNS musia vedieť, ako sa dostať na doménu útočníka a DNS server. Táto kombinácia môže generovať veľa komunikácie medzi rekurzívnymi reriešiteľmi a autoritatívnym serverom DNS obete. Výsledkom je útok DDoS.

Zraniteľnosť pre MS DNS na podnikových intranetoch

Interné, súkromné domény nie sú minimαlneho prostredníctvom odkazov na koreňové servery a domén najvyššej úrovne domény DNS. Keď budete postupovať podľa najlepšej praxe, DNS servery, ktoré sú smerodajné pre súkromné, interné domény, ako napríklad domény služby Active Directory, nie sú dostupné z internetu.

Hoci je technicky možné NXNSAttack vnútornej domény z internej siete, vyžadovalo by to, aby bol zlomyseľný používateľ vo vnútornej sieti, ktorý má prístup na úrovni správcu na konfigurovanie interných serverov DNS na smerovanie na servery DNS v doméne útočníka. Tento používateľ musí byť schopný vytvoriť nebezpečnú zónu v sieti a dať špeciálny DNS server, ktorý dokáže vykonávať NXNSAttack v podnikovej sieti. Používateľ, ktorý má túto úroveň Accessu, bude vo všeobecnosti uprednostňovať Stealth oznámenie ich prítomnosti začatím vysoko viditeľného útoku DNS DDoS.  

Zraniteľnosť pre MS DNS smerujúci Edge

Preklad DNS na internete používa na riešenie neznámych domén DNS odkazy na koreňové servery a servery domény najvyššej úrovne (TLD). Útočník môže použiť tento verejný systém DNS na používanie ľubovoľného internetového prekladača DNS, aby sa pokúsil NXNSAttack zosilnenie. Po objavení vektora zosilnenia sa môže používať ako súčasť útoku na odmietnutie služby (DDoS) proti akémukoľvek serveru DNS, ktorý hosťuje verejnú doménu DNS (doménu obete).

Server Edge DNS, ktorý funguje ako preklad alebo preposielanie, sa môže použiť ako vektor zosilnenia pre útok, ak sú povolené nevyžiadané prichádzajúce dotazy DNS, ktoré pochádzajú z internetu. Prístup verejnosti umožňuje škodlivému klientovi DNS použiť preklad v rámci celkového útoku zosilnenia.

Smerodajné DNS servery pre verejné domény musia umožňovať nevyžiadaný prichádzajúci prenos DNS z preriešiteľných údajov, ktoré robia rekurzívny vyhľadávania z koreňových tipov a infraštruktúry DNS systému TLD. V opačnom prípade nie je prístup k doméne úspešný. To spôsobí, že všetky verejné doménové servery DNS sú možné obetiam NXNSAttack. Servery DNS s Edge-čelia by mali spustiť Windows Server 2016 alebo novšiu verziu a získať podporu RRL.