Ukryte zagrożenie DNS, które widać gołym okiem: transparent forwarders i ataki z amplifikacją

Każdy, kto kiedykolwiek konfigurował router w domu lub budował sieć w małej firmie, pewnie natknął się na ustawienia DNS, nie do końca rozumiejąc, co one oznaczają. Wiemy mniej więcej tyle, że DNS zamienia adresy zrozumiałe dla ludzi na cyfry zrozumiałe dla komputerów. Ale mało kto zdaje sobie sprawę, jak łatwo tę infrastrukturę można przerobić w broń — i że pewien konkretny element DNS sprawia ciągle problemy, mimo że podobne zagrożenia powoli znikają.

Dobra wiadomość, która niepokoi

Posłuchajcie tego, co brzmi jak świetna informacja, ale powinna zaniepokoić każdego specjalistę od bezpieczeństwa: liczba otwartych urządzeń DNS dostępnych z internetu spadła dramatycznie w ciągu ostatniej dekady. Mówimy o spadku z ponad 25 milionów eksponowanych urządzeń w 2014 roku do mniej więcej 1,4 miliona dzisiaj. To jakieś 94% redukcji.

Ale jest haczyk — choć tradycyjne otwarte resolwery DNS i forwardery recursivezne znacznie się zmniejszyły, transparent DNS forwarders pozostają irytująco trwałe. Nawet po programach responsible disclosure, które wyeliminowały ponad 250 tysięcy urządzeń z threat landscape, te transparent forwarders wciąż istnieją w ogromnych ilościach w całym internecie.

Dlaczego to istotne? Bo transparent DNS forwarders to wyjątkowo niebezpieczna kategoria sprzętu sieciowego, o które istnieniu większość organizacji w ogóle nie wie.

Czym dokładnie jest transparent DNS forwarder?

Rozłóżmy to na czynniki pierwsze w sposób, który naprawdę ma sens.

Kiedy wysyłasz zapytanie DNS, twoje urządzenie prosi resolver o znalezienie adresu. Standardowy recursive DNS resolver przetwarza to żądanie, kontaktuje odpowiednie serwery autorytawne i zwraca odpowiedź. Te resolwery zazwyczaj mają wbudowane zabezpieczenia — potrafią ograniczać liczbę zapytań, kontrolować kto może je wysyłać, ogólnie zachowują się odpowiedzialnie.

Transparent DNS forwarder działa inaczej. Wyobraź sobie, że to pośrednik w sieci, który nie robi nic ciężkiego. Zamiast samodzielnie rozwiązywać zapytania DNS, po prostu przekazuje je do innego serwera DNS — zazwyczaj potężnego recursive resolvera należącego do Google, Cloudflare lub podobnych gigantów.

Krytyczny problem? Transparent forwarders nie przepisują źródłowego adresu IP pakietów, które przekazują.

To oznacza, że kiedy transparent forwarder wysyła twoje zapytanie DNS do Googlowskiego resolvera 8.8.8.8, ten resolver widzi je jako pochodzące bezpośrednio od twojego oryginalnego adresu IP, nie od forwardera. Żadna translacja się nie dzieje. Żadne zabezpieczenie nie uruchamia się po stronie forwardera. Pakiet po prostu przepływa jak woda przez rurę.

Dlaczego to tworzy idealny wektor ataku

Tu robi się ciekawie dla każdego, kto odpowiada za bezpieczeństwo sieci.

Atakujący odkryli, że mogą wysyłać zapytania DNS z podrobionym źródłowym adresem IP — konkretnie adresem IP swojej zamierzonej ofiary. Transparent forwarder grzecznie przekazuje to zapytanie do potężnego recursive resolvera (często jednego z anycastowanych serwerów Google lub Cloudflare, które obsługują ogromne ilości ruchu). Recursive resolver przetwarza żądanie i wysyła odpowiedź na adres IP ofiary.

Ale jest ten faktor amplifikacji: odpowiedzi DNS mogą być znacznie większe niż zapytania, które je wywołują. Malutkie zapytanie o rekordy DNS może wygenerować odpowiedź 10, 50, a nawet 100 razy większą. Kiedy zalewasz ofiarę ruchem, wysyłanie im pakietów 50 razy większych niż to, co musiałeś wysłać do forwardera, to ogromna przewaga.

Ofiara dostaje lawinę odpowiedzi, o które nigdy nie prosiła, podczas gdy atakujący wysłał tylko małe zapytania. Transparent forwarder — który nigdy nie widzi odpowiedzi — dalej działa sobie spokojnie, nieświadomy, że jest częścią infrastruktury ataku.

Liczby stojące za zagrożeniem

Badania z RIPE Atlas pokazują pewne poruszające statystyki:

• 175 krajów na całym świecie ma publicznie dostępne transparent DNS forwarders
• Brazylia i Indie odpowiadają za 55% wszystkich odkrytych urządzeń — Brazylia 31%, Indie 24%
• 76% transparent forwarders jest skonfigurowanych do używania publicznych resolverów Google lub Cloudflare
• Podczas gdy inne otwarte komponenty DNS gwałtownie spadają, transparent forwarders pozostają relatywnie stabilne

Ta geograficzna koncentracja to jednocześnie wyzwanie i szansa. Skoro większość urządzeń jest skupiona w stosunkowo niewielu regionach, możliwa jest koordynacja z konkretnymi operatorami sieci, żeby zmniejszyć attack surface skuteczniej niż globalnymi wysiłkami.

Przewaga Anycast (Dla atakujących)

Transparent forwarders zyskują dodatkowe znaczenie, kiedy weźmiesz pod uwagę, jak wielcy dostawcy DNS zarządzają swoją infrastrukturą.

Google Public DNS i Cloudflare 1.1.1.1 używają anycast networkingu — techniki, gdzie ten sam adres IP jest ogłaszany z wielu lokalizacji geograficznych jednocześnie. Kiedy wysyłasz zapytanie do 8.8.8.8, twoje pakiety są kierowane do najbliższego serwera Google na podstawie topologii sieci, nie pojedynczej fizycznej lokalizacji.

Ten design sprawia, że te resolwery są niesamowicie potężne i odporne na tradycyjne ataki DDoS. Są rozproszone w dziesiątkach centrów danych na całym świecie i mogą absorbować ogromne ilości ruchu.

Ale ta sama architektura tworzy okazję dla atakujących. Bo transparent forwarders kierują zapytania do tych potężnych anycastowanych resolverów, skutecznie dając atakującym dostęp do infrastruktury zdolnej generować masywne efekty amplifikacji. Sam resolver nie wie, że jest nadużywany — po prostu widzi przychodzące zapytania i wysyła odpowiedzi. Ruch ataku pochodzi z adresów IP resolvera, nie z transparent forwardera, co utrudnia attribution.

Co to oznacza dla twojej organizacji

Jeśli zarządzasz jakąkolwiek infrastrukturą sieciową — czy to małym biurem, deploymentem w chmurze, czy środowiskiem enterprise — powinieneś zaudytować swoją konfigurację DNS, żeby upewnić się, że nie prowadzisz przypadkiem transparent forwardera.

Wiele konsumenckich routerów i część sprzętu sieciowego enterprise jest wysyłanych z włączonym DNS forwardingiem domyślnie. To nie jest samo w sobie złośliwe, ale konfiguracja może tworzyć luki w bezpieczeństwie, jeśli forwarder jest dostępny z internetu i nie obsługuje poprawnie informacji o źródłowym IP.

Szybka checklist dla administratorów sieci

1. Zidentyfikuj swoje DNS forwarders — wiedz, jaki sprzęt DNS istnieje w twojej sieci i jak jest skonfigurowany
2. Ogranicz dostęp — DNS forwarders nie powinny być publicznie dostępne z internetu, chyba że celowo skonfigurowałeś je jako publiczne resolwery
3. Używaj proper recursion controls — jeśli potrzebujesz recursive resolvera, upewnij się, że ma odpowiednie kontrole dostępu i rate limiting
4. Monitoruj anomalie — nietypowe wzorce ruchu DNS mogą oznaczać, że twoja infrastruktura jest badana lub używana w atakach

Szerszy obraz

Trwałość transparent DNS forwarders jako wektora ataku pokazuje szerszą prawdę o bezpieczeństwie: czasem najniebezpieczniejsze podatności to nie te oczywiste, o których wiemy, ale overlooked komponenty, które cicho robią swoją robotę bez nikogo, kto kwestionowałby ich implikacje.

Podczas gdy społeczność internetowa nadal robi postępy w zamykaniu tradycyjnych otwartych resolverów DNS, transparent forwarders reprezentują pozostały frontier, który wymaga uwagi. Dobra wiadomość jest taka, że te urządzenia są skoncentrowane geograficznie, co oznacza, że skoordynowane wysiłki z konkretnymi operatorami sieci mogłyby znacząco zmniejszyć globalny attack surface.

Do tego czasu, rozumienie czym są transparent DNS forwarders — i upewnienie się, że twoje nie są publicznie eksponowane — pozostaje ważnym krokiem w utrzymywaniu infrastruktury internetowej przed tym, żeby została obrócona przeciwko sobie.

Masz pytania o bezpieczeństwo DNS lub potrzebujesz pomocy w audycie infrastruktury sieciowej? Zespół Vibe Hosting pomoże ci zbudować bezpieczne, resilient aplikacje od podstaw.