Рекомендації з підсилення DNS, обговорених у ADV200009

Абстрактні

19 травня 2020 р. корпорація Майкрософт випустила консультативний захист ADV200009. У цій статті наведено рекомендації з посилення DNS-атак, визначених ізраїльськими дослідниками. Атака, відома як NXNSAttack, може націлити будь-який DNS-сервер, зокрема DNS-сервери Microsoft і BIND, які є авторитетними для зони DNS.

Для DNS-серверів, які знаходяться в корпоративному інтрамережі, корпорація Майкрософт ризикує використовувати цей рівень. Однак DNS-сервери, які проживають на EDGE-мережах, вразливими для NXNSAttack. DNS-сервери, що мають доступ до Windows Server 2016, які проживають на EDGE-мережах, потрібно оновити до Windows Server 2016 або пізніші версії, які підтримують обмеження частоти відповіді (RRL). RRL зменшує ефект підсилення, коли цільовий визначник DNS надсилає запити DNS-серверів.  

Ознаки

Під час атаки підсилення DNS може виникнути один або кілька з наведених нижче симптомів на уражених серверах:

• Використання ЦП для служби DNS підвищене.

• Час відгуку DNS збільшиться, і відповіді можуть припинити роботу.

• Неочікувана кількість відповідей NXDOMAIN створюється сервером автентифікації.

Огляд атаки

DNS-сервери завжди вразливі для масиву атак. З цієї причини DNS-сервери зазвичай розміщуються позаду завантаження balancers і брандмауерів в ДМЗ.

Щоб скористатися цією вразливістю, зловмисник повинен мати кілька клієнтів DNS. Зазвичай це включає в себе ботнет, доступ до десятків або сотень DNS-розв'язувачів, які здатні підсилюючи атаку, а також спеціалізовані служби DNS-сервера зловмисника.

Ключем до атаки є спеціально створений зловмисником DNS-сервера, який є авторитетним для домену, який має власник атакуючий. Щоб отримати відповідний удар, потрібно знати, як досягти домену зловмисника та DNS-сервера. Це поєднання може генерувати багато спілкування між рекурсивними розв'язуваннями та авторитетним DNS-сервером жертви. Результат – це атака на DDoS.

Уразливість служби MS DNS на корпоративному інтранет

Внутрішні, приватні домени не розв'язні через кореневі підказки та DNS-сервери доменів верхнього рівня. Коли ви прямуєте за кращими практиками, DNS-сервери, які є авторитетними для приватних, внутрішніх доменів, наприклад доменів Active Directory, недоступні в Інтернеті.

Незважаючи на те, що для внутрішнього домену з внутрішньої мережі є технічно можливо, це може знадобитися Зловмисний користувач у внутрішній мережі, який має доступ на рівні адміністратора, щоб настроїти внутрішні DNS-сервери, щоб вони вказували на сервери DNS в домені зловмисника. Цей користувач також має мати можливість створювати зловмисну зону в мережі та розмістити спеціальний DNS-сервер, який здатен виконувати Nxnsattдля корпоративної мережі. Користувач, який має цей рівень доступу, зазвичай дає можливість використовувати стелс, оголосивши свою присутність, започатковюючи дуже видимий напад DDoS для атак DNS.  

Дефект для служби MS DNS із EDGE-обличчям

Визначник DNS в Інтернеті використовує кореневі підказки та сервери доменів верхнього рівня (TLD) для вирішення невідомих доменів DNS. Зловмисник може використовувати цю загальнодоступну систему DNS для використання будь-якого засобу визначення DNS для Інтернету, щоб спробувати підсилення Nxnsattt. Після виявлення підсилення вектора, його можна використовувати як частину відмови служби (DDoS) на будь-якому сервері DNS, на якому розміщено загальнодоступний домен DNS (домен жертви).

Сервер EDGE DNS, який діє як засіб розв'язання або експедитора, можна використовувати як вектор підсилення для атак, якщо дозволено небажані вхідні запити DNS, які походять з Інтернету. Загальнодоступний доступ дає змогу зловмисному клієнту DNS використовувати засіб розв'язання як частину загальної атаки підсилення.

Авторитетні DNS-сервери для загальнодоступних доменів мають дозволити несанкціонованих вхідних трафіку DNS від resrovers, які виконують Рекурсивні підстановки в інфраструктурі кореневих підказок і TLD DNS. В іншому разі доступ до домену не вдасться. Це призводить до того, що всі авторитетні DNS-сервери загальнодоступного домену можуть бути жертвами NXNSAttack. На основі EDGE-серверів DNS Microsoft слід запустити Windows Server 2016 або пізнішу версію, щоб отримати підтримку RRL.