Smernice za DNS pojačavanje razmotrene u ADV200009

Apstraktni

19. maj, 2020, Microsoft je objavio bezbednosni savetodavni ADV200009. U ovom savetodavnom članku opisan je napad na DNS pojačavanje koji su identifikovali izraelski istraživači. Napad, poznat kao Nxnsnapad, može biti usmeren na bilo koji DNS server, uključujući Microsoft DNS i POVEŽETE servere koji su ovlašćeni za DNS zonu.

Za DNS servere koji se nalaze na korporativnoj intranets, Microsoft ocenjuje rizik ovog iskorišćavanja kao nizak. Međutim, DNS serveri koji žive na ivici mreže su podložni Nxnsnapadu. Windows Server 2016 DNS serveri koji se nalaze na ivici mreže trebalo bi da budu nadograđeni na Windows Server 2016 ili novije verzije koje podržavaju ograničenje brzine odziva (RRL). RRL smanjuje efekat pojačavanja kada se Ciljno DNS razrešivač upita za DNS servere.  

Simptomi

Kada se pravi napad na DNS pojačavanje, možete da posmatrate jedan ili više sljedećih simptoma na serveru na kojem je on uključen:

• Iskorišćenost CPU-a za DNS je puna.

• Povećanje vremena odziva na DNS-u može da se zaustavi.

• Vaš server za potvrdu identiteta generiše neočekivani broj odgovora NXDOMAIN.

Pregled napada

DNS serveri su oduvek bili podložni nizu napada. Iz tog razloga, DNS serveri se obično stavljaju iza opterećenja i zaštitnih zidova u DMZ.

Da bi se ova ranjivost iskorišćavao napadač bi morao da ima više DNS klijenata. To bi obično obuhvatilo i botnet, pristup desetinama ili stotine DNS neodlučne koji su sposobni da pojačaju napad, kao i specijalizovanu uslugu DNS servera.

Ključ napada je specijalno napravljen napadač DNS server koji je ovlašćen za domen koji poseduje napadač. Da bi napad bio uspešan, DNS odlučna mora da zna kako da stigne do njegovog domena i DNS servera. Ova kombinacija može da proizvede mnogo komunikacije između rekurzivnih i autoritnog DNS servera žrtve. Rezultat je DDoS napad.

Ranjivost za MS DNS na korporativnoj intranets

Unutrašnji, privatni domeni se ne mogu ponovo da koriste u osnovnim Nagoveštima i DNS serverima najvišeg nivoa. Kada pratite najbolje prakse, DNS serveri koji su ovlašćeni za privatne, interne domene, kao što su domeni aktivnog direktorijuma, ne može se pristupiti sa interneta.

Iako se Nxnsnapad na unutrašnji domen iz interne mreže tehnički može, to zahteva zlonamerni korisnik na internoj mreži koji ima pristup na nivou administratora da konfiguriše interne DNS servere tako da na DNS servere u domenu napadača. Ovaj korisnik takođe mora da kreira zlonamernu zonu na mreži i postavi poseban DNS server koji može da izvršava Nxnsnapad na korporativnoj mreži. Korisnik koji ima ovakav nivo pristupa uglavnom će biti na tome da najavljuje njihovo prisustvo inicom velikog napada DNS DDoS.  

Ranjivost za MS DNS-ovu sa ivicom

DNS razrešivač na Internetu koristi korijenske savete i servere domena najvišeg nivoa (TLD) za otklanjanje nepoznatih DNS domena. Napadač može da koristi ovaj javni DNS sistem da koristi bilo koji DNS razrešivač koji se suočava sa Internetom da bi pokušao da pokuša da izrekne pojačavanje napada. Nakon što je otkriven vektor pojačavanja, može se koristiti kao deo napada za uskraćivanje usluga (DDoS) na bilo koji DNS server koji hostuje javni DNS domen (domen žrtve).

Edge DNS server koji se ponaša kao razrešivač ili viljušder može da se koristi kao vektor pojačavanja za napad ako su dozvoljene neovlašćene dolazne DNS upiti koji potiču sa interneta. Javni pristup omogućava zlonamernom DNS klijentu da koristi razrešivač kao deo celokupnog napada pojačavanja.

Pouzdane DNS serveri za javne domene moraju dozvoliti nepristigle dolazne DNS saobraćaj od odlučne vere koji rade Rekurzivne kontrole iz vrhovnih saveta i TLD DNS infrastrukture. U suprotnom, pristup domenu nije uspeo. To dovodi do toga da svi pouzdane DNS serveri budu moguće žrtve Nxnsnapada. Microsoft DNS serveri koji se suočavaju sa ivicom trebalo bi da pokrenu Windows Server 2016 ili noviju verziju da bi dobili podršku za RRL.