ADV200009 'de açıklanan DNS Yükseltme Kılavuzu

Kısa

19 Mayıs 2020 tarihinde, Microsoft Güvenlik Danışma belgesi ADV200009. Bu danışma belgesinde Israil araştırmacılar tarafından tanımlanan bir DNS yükseltme saldırısı açıklanmaktadır. NXNSAttack olarak bilinen saldırı, DNS bölgesi için yetkili olan Microsoft DNS ve BIND sunucuları dahil olmak üzere herhangi bir DNS sunucusunu hedefleyebilir.

Şirket intranetlerinde bulunan DNS sunucularında, Microsoft bu yararlanma riskini düşük olarak ücretlidir. Ancak, uç ağlardaki DNS sunucuları NXNSAttack 'de savunmasızdır. Windows Server 2016, Edge ağlarında bulunan DNS sunucuları, Windows Server 2016 veya yanıt hızı sınırını destekleyen sonraki sürümlere (RRL) yükseltilmelidir. RRL, hedeflenen DNS Çözümleyicisi DNS sunucularınızı sorguladığında yükseltme etkisini azaltır.  

Belirtiler

DNS yükseltme saldırısı yapılırken, etkilenen sunucuda aşağıdaki belirtilerden bir veya daha fazlasını gözlemleyebilirsiniz:

• DNS için CPU kullanımı yükseltilebilir.

• DNS yanıt süreleri artış ve yanıtlar durabilir.

• Kimlik doğrulama sunucunuz beklenmeyen sayıda NXDOMAIN yanıtı oluşturdu.

Saldırıya genel bakış

DNS sunucuları her zaman bir saldırı dizisiyle savunmasızdır. Bu nedenle, DNS sunucuları genellikle bir DMZ yük dengeleyiciye ve güvenlik duvarlarına yerleştirilir.

Saldırganın bu güvenlik açığından yararlanabilmesi için birden çok DNS istemcisi olmalıdır. Bu, genellikle, saldırıyı ve özel bir saldırganın DNS sunucusu hizmetini yükseltme yeteneğine sahip bir botnet, düzinelerce veya yüzlerce DNS çözümleyicilerine erişim içerir.

Saldırının anahtarı, saldırganın sahip olduğu bir etki alanı için yetkili olan ve özel olarak oluşturulan saldırgan DNS sunucusudur. Saldırının başarılı olabilmesi için DNS çözümleyicilerine saldırganın etki alanına ve DNS sunucusuna nasıl ulaşabileceğinizi bilmek gerekir. Bu bileşim, özyinelemeli çözümleyiciler ile kurban 'in yetkili DNS sunucusu arasında çok fazla iletişim oluşturabilir. Sonuç bir Vseçdos saldırıdır.

Kuruluş intranetlerinde MS DNS Güvenlik Açığı

İç, özel etki alanları kök Ipuçları ve üst düzey etki alanı DNS sunucuları aracılığıyla çözümlenemez. En iyi yöntemleri izlediğinizde, Active Directory etki alanları gibi özel, iç etki alanları için yetkili DNS sunucuları internet 'ten erişilemez.

İç ağdan iç etki alanı içeren bir NXNSAttack olsa da, iç DNS sunucularını saldırgan etki alanındaki DNS sunucularını gösterecek şekilde yapılandırmak için yönetici düzeyinde erişimi olan bir kötü niyetli kullanıcı gerekir. Bu kullanıcının ayrıca ağda kötü niyetli bir bölge oluşturabilmelerini ve şirket ağında NXNSAttack 'i gerçekleştirebilen özel bir DNS sunucusu yerleştirmenizi gerekir. Bu erişim düzeyine sahip olan bir Kullanıcı, çok iyi görünür bir DNS ara  

Kenara bakan MS DNS Güvenlik Açığı

Internet 'teki DNS Çözümleyicisi, bilinmeyen DNS etki alanlarını çözmek için kök Ipuçlarını ve üst düzey etki alanı (TLD) sunucularını kullanır. Saldırgan, bu genel DNS sistemini kullanarak, NXNSAttack yükseltme Bir yükseltme vektörü keşfedildikten sonra, genel bir DNS etki alanı (kurbanı etki alanı) barındıran herhangi bir DNS sunucusuna hizmet reddi (DDoS) saldırısı gibi kullanılabilir.

Internet kaynaklı istenmeyen gelen DNS sorgularına izin verildiğinde, çözümleyici veya iletici olarak davranan bir Edge DNS sunucusu, saldırı için bir yükseltme vektörü olarak kullanılabilir. Genel erişim, kötü amaçlı bir DNS istemcisinin, bu çözümleyiciyi genel yükseltme saldırısı kapsamında kullanmasını sağlar.

Genel etki alanları için yetkili DNS sunucuları, kök Ipuçları ve TLD DNS altyapısıyla özyinelemeli aramalar yapan çözümleyiclardan gelen istenmeyen gelen DNS trafiğine izin vermelidir. Aksi halde, etki alanına erişim başarısız olur. Bu, tüm genel etki alanı yetkili DNS sunucularının, bir NXNSAttack. Microsoft DNS sunucularında, RRL desteği kazanmak için Windows Server 2016 veya sonraki bir sürümü çalışmalıdır.