Skrytá DNS hrozba, která je vidět přímo před nosem: Transparentní forwardery a útoky zesílením

Když jste někdy nastavovali domácí router nebo budovali síť pro malou firmu, pravděpodobně jste narazili na DNS nastavení, aniž byste plně rozuměli, co všechno obnáší. Většina z nás ví, že DNS překládá lidsky čitelné domény na IP adresy, které chápou počítače. Co ale mnoho lidí netuší, je fakt, že tuto kritickou infrastrukturu lze zneužít jako zbraň. A že konkrétní typ DNS komponenty dělá problémy právě tehdy, když ostatní podobné hrozby už pominuly.

Dobrá zpráva, která ve skutečnosti znepokojuje

Tady máme něco, co zní jako dobrá zpráva, ale mělo by to bezpečnostní profesionály znepokojit: počet otevřených DNS zařízení přístupných z internetu za poslední dekádu dramaticky klesl. Mluvíme o poklesu z více než 25 milionů vystavených zařízení v roce 2014 na přibližně 1,4 milionu dnes. To je zhruba 94% zlepšení.

Ale tady přichází ten háček — zatímco tradiční otevřené DNS resolvery a rekurzivní forwardery výrazně ubyly, transparentní DNS forwardery zůstávají neúprosně přítomné. I poté, co výzkumníci provedli programy zodpovědného zveřejňování, které odstranily přes 250 000 zařízení z hrozeb, tyto transparentní forwardery dál existují v masivním množství po celém internetu.

A to je důležité, protože transparentní DNS forwardery představují jedinečně nebezpečnou kategorii síťového vybavení, o které většina organizací ani neví, že ho má v provozu.

Co přesně je transparentní DNS forwarder?

Pojďme si to rozebrat srozumitelně.

Když provedete DNS dotaz, vaše zařízení se ptá DNS resolveru, aby vyhledal adresu. Standardní rekurzivní DNS resolver tento požadavek zpracuje, kontaktuje potřebné autoritativní servery a vrátí odpověď. Tyto resolvery obvykle mají zabudovaná bezpečnostní opatření — umí omezovat rychlost dotazů, omezovat, kdo se jich může ptát, a obecně se chovat zodpovědně.

Transparentní DNS forwarder je ale něco jiného. Představte si ho jako síťového prostředníka, který nedělá žádnou těžkou práci. Místo aby DNS dotazy sám resoloval, jednoduše je přepošle na jiný DNS server — obvykle výkonnější rekurzivní resolver patřící Googlu, Cloudflaru nebo podobným velkým poskytovatelům.

Kritický problém? Transparentní forwardery nepřepisují zdrojovou IP adresu paketů, které přeposílají.

To znamená, že když transparentní forwarder pošle váš DNS dotaz na Google resolver 8.8.8.8, ten resolver vidí dotaz jako přicházející přímo z vaší původní IP adresy, ne z forwarderu. Žádná translace se nekoná. Žádná bezpečnostní kontrola se na straně forwarderu nespustí. Paket jednoduše proteče jako voda potrubím.

Proč to vytváří dokonalý útočný vektor

Tady to začíná být zajímavé pro každého, kdo má na starost bezpečnost sítě.

Útočníci zjistili, že mohou posílat DNS dotazy se spoofovanou zdrojovou IP adresou — konkrétně IP adresou svého zamýšleného oběti. Transparentní forwarder poslušně přepošle tento dotaz na výkonný rekurzivní resolver (často jeden z anycastovaných serverů Googlu nebo Cloudflaru, které zvládnou obrovské objemy provozu). Rekurzivní resolver zpracuje požadavek a pošle odpověď na IP adresu oběti.

A tady přichází faktor zesílení: DNS odpovědi můžou být výrazně větší než dotazy, které je vyvolaly. Malinký dotaz na DNS záznamy může generovat odpověď 10×, 50× nebo dokonce 100× větší. Když zaplavujete oběť provozem, poslat jí pakety 50× větší než to, co jste museli poslat forwarderu, je obrovská výhoda.

Oběť dostane lavinu odpovědí, o které nikdy nepožádala, zatímco útočník poslal jen malé dotazy. Transparentní forwarder — který nikdy nevidí ani odpovědi — dál spokojeně funguje a nemá tušení, že je součástí útočné infrastruktury.

Čísla za hrozbou

Výzkum z RIPE Atlas odhaluje některá oční víčka rozšiřující statistiky:

• 175 ekonomik po celém světě má veřejně přístupné transparentní DNS forwardery
• Brazílie a Indie samy tvoří 55 % všech objevených zařízení, přičemž Brazílie 31 % a Indie 24 %
• 76 % transparentních forwarderů je nakonfigurováno používat buď veřejné DNS resolvery Googlu, nebo Cloudflaru
• zatímco ostatní otevřené DNS komponenty prudce ubyly, transparentní forwardery zůstávají relativně stabilní

Tato geografická koncentrace ve skutečnosti představuje současně výzvu i příležitost. S většinou zařízení soustředěnou v relativně málo regionech existuje možnost koordinovat s konkrétními síťovými operátory snížení útočné plochy efektivněji, než by bylo možné dosáhnout globálním úsilím.

Výhoda anycastu (pro útočníky)

Transparentní forwardery získávají další význam, když vezmete v úvahu, jak velcí DNS poskytovatelé provozují svou infrastrukturu.

Google Public DNS a Cloudflare 1.1.1.1 používají anycast networking — techniku, kde je stejná IP adresa oznamována z více geografických lokalit současně. Když pošlete dotaz na 8.8.8.8, vaše pakety jsou směrovány na nejbližší Google server na základě síťové topologie, ne na základě jedné fyzické lokace.

Tento design dělá tyto resolvery neuvěřitelně výkonné a odolné vůči tradičním DDoS útokům. Jsou distribuované napříč desítkami datových center po celém světě a dokážou absorbovat obrovské objemy provozu.

Ale stejná architektura vytváří příležitost pro útočníky. Protože transparentní forwardery posílají dotazy do těchto výkonných anycastovaných resolverů, vpodstatě dávají útočníkům přístup k infrastruktuře schopné generovat masivní zesilovací efekty. Samotný resolver neví, že je zneužíván — prostě vidí příchozí dotazy a posílá odpovědi. Útočný provoz přichází z IP adres resolveru, ne z transparentního forwarderu, což ztěžuje přisuzování.

Co to znamená pro vaši organizaci

Pokud provozujete jakoukoli síťovou infrastrukturu — ať už jde o malou kancelář, cloud nasazení nebo podnikové prostředí — měli byste zkontrolovat svou DNS konfiguraci, abyste se ujistili, že neprovozujete transparentní forwarder nechtěně.

Mnoho spotřebitelských routerů a některé podnikové síťové vybavení se dodávají s DNS forwardingem povoleným jako výchozí nastavení. Zatímco to samo o sobě není škodlivé, tato konfigurace může vytvářet bezpečnostní zranitelnosti, pokud je forwarder přístupný z internetu a nezpracovává správně informace o zdrojové IP.

Rychlý checklist pro správce sítí

1. Identifikujte své DNS forwardery – Mějte přehled o tom, jaké DNS vybavení ve vaší síti existuje a jak je nakonfigurováno
2. Omezte přístup – DNS forwardery by neměly být veřejně přístupné z internetu, pokud nejsou záměrně nakonfigurovány jako veřejné resolvery
3. Používejte správné rekurzivní kontroly – Pokud potřebujete rekurzivní resolver, ujistěte se, že má odpovídající přístupové kontroly a omezení rychlosti
4. Monitorujte anomálie – Neobvyklé vzorce DNS provozu můžou indikovat, že vaše infrastruktura je zkoumána nebo využívána k útokům

Ten větší obrázek

Persistence transparentních DNS forwarderů jako útočného vektoru ilustruje širší pravdu v bezpečnosti: někdy ty nejnebezpečnější zranitelnosti nejsou ty zjevné, o kterých víme, ale přehlížené komponenty, které tiše dělají svou práci, aniž by se někdo ptal na jejich důsledky.

zatímco internet komunita pokračuje v pokroku při zavírání tradičních otevřených DNS resolverů, transparentní forwardery představují zbývající hranici, která si žádá pozornost. Dobrá zpráva je, že tato zařízení jsou geograficky koncentrována, což znamená, že koordinované úsilí s konkrétními síťovými operátory by mohlo smysluplně snížit globální útočnou plochu.

Do té doby zůstává pochopení toho, co transparentní DNS forwardery jsou — a ujištění, že ty vaše nejsou veřejně vystaveny — důležitým krokem k tomu, aby se infrastruktura internetu nestala zbraní proti sobě samému.

Máte otázky ohledně DNS bezpečnosti nebo potřebujete pomoci s auditem vaší síťové infrastruktury? Tým Vibe Hosting vám pomůže budovat bezpečné a odolné aplikace od základů.