Den Skjulte DNS-trussel der lurer i det åbne: Transparente forwardere og forstærkingsangreb

Har du nogensinde rodet med DNS-indstillingerne på din hjemmerouter eller sat netværket op på en mindre virksomhed? De fleste af os ved, at DNS oversætter menneskelæsbare domænenavne til IP-adresser, som computere forstår. Men færre er klar over, hvordan denne kritiske infrastruktur kan bruges som våben – og at én bestemt type DNS-komponent bliver ved med at skabe problemer, selvom lignende trusler er blevet mindre udbredte.

Den Gode Nyhed (Der Faktisk Er Bekymrende)

Her er noget, der lyder som godt nyt, men bør gøre sikkerhedsfolk ukomfortable: Antallet af åbne DNS-enheder, der er tilgængelige fra internettet, er faldet drastisk over det sidste årti. Vi taler om et fald fra over 25 millioner eksponerede enheder i 2014 til cirka 1,4 millioner i dag. Det er roughly en 94% forbedring.

Men her kommer twistet – mens traditionelle åbne DNS-resolvere og rekursive forwardere er faldet markant, har transparente DNS-forwardere holdt sig stædigt tilbage. Selv efter at forskere gennemførte ansvarlige disclosures, der fjernede over 250.000 enheder fra trusselslandskabet, fortsætter disse transparente forwardere med at eksistere i enorme mængder på tværs af internettet.

Det betyder noget, fordi transparente DNS-forwardere repræsenterer en unik farlig kategori af netværksudstyr, som de fleste organisationer ikke engang ved, de har kørende.

Hvad Er En Transparent DNS-Forwarder?

Lad mig forklare det på en måde, der faktisk giver mening.

Når du sender en DNS-forespørgsel, spørger din enhed en DNS-resolver om at slå en adresse op. En standard rekursiv DNS-resolver behandler denne forespørgsel, kontakter de nødvendige autoritative servere og returnerer svaret. Disse resolvere har typisk sikkerhedsforanstaltninger indbygget – de kan rate-limit forespørgsler, begrænse hvem der kan stille dem spørgsmål og generelt opføre sig ansvarligt.

En transparent DNS-forwarder er anderledes. Tænk på den som en netværks-mellemmand, der ikke løfter tungerne. I stedet for selv at resolve DNS-forespørgsler, videresender den dem blot til en anden DNS-server – typisk en mere kraftfuld rekursiv resolver fra Google, Cloudflare eller lignende store udbydere.

Det kritiske problem? Transparente forwardere omskriver ikke kilde-IP-adressen på de pakker, de videresender.

Det betyder, at når en transparent forwarder sender din DNS-forespørgsel til Googles 8.8.8.8-resolver, ser den resolver forespørgslen som værende direkte fra din originale IP-adresse – ikke fra forwarderen. Ingen oversættelse sker. Ingen sikkerhedskontrol udløses på forwarderens side. Pakken flyder bare igennem som vand gennem et rør.

Hvorfor Dette Skaber En Perfekt Angrebsvektor

Her bliver det bekymrende for alle med ansvar for netværkssikkerhed.

Angribere har opdaget, at de kan sende DNS-forespørgsler med en forfalsket kilde-IP-adresse – specifikt IP-adressen på deres tilsigtede offer. Den transparente forwarder videresender samvittighedsfuldt denne forespørgsel til en kraftfuld rekursiv resolver (ofte en af Googles eller Cloudflares anycastede servere, der kan håndtere enorme trafikmængder). Den rekursive resolver behandler anmodningen og sender svaret til offerets IP-adresse.

Men her kommer forstærkningsfaktoren: DNS-svar kan være markant større end de forespørgsler, der udløser dem. En lille forespørgsel om DNS-records kan generere et svar, der er 10, 50 eller endda 100 gange større. Når du oversvømmer et offer med trafik, er det en enorm fordel at sende dem pakker, der er 50 gange større end det, du selv sendte til forwarderen.

Offeret modtager en lavine af svar, de aldrig bad om, mens angriberen kun sendte små forespørgsler. I mellemtiden fortsætter den transparente forwarder – der aldrig engang ser svarene – med at operere lykkeligt uvidende om, at den er en del af en angrebsinfrastruktur.

Tallene Bag Truslen

Forskning fra RIPE Atlas afslører nogle øjenbrynsløftende statistikker:

• 175 lande verden over har offentligt tilgængelige transparente DNS-forwardere
• Brasilien og Indien står alene for 55% af alle opdagede enheder, med Brasilien på 31% og Indien på 24%
• 76% af transparente forwardere er konfigureret til at bruge enten Googles eller Cloudflares offentlige DNS-resolvere
• Mens andre åbne DNS-komponenter er faldet markant, er transparente forwardere forblevet relativt stabile

Denne geografiske koncentration præsenterer faktisk både en udfordring og en mulighed. Med de fleste enheder koncentreret i relativt få regioner er der mulighed for at koordinere med specifikke netværksoperatører for at reducere angrebsoverfladen mere effektivt, end man kunne opnå gennem globale indsatser alene.

Anycast-fordelen (For Angribere)

Transparente forwardere får yderligere betydning, når man overvejer, hvordan store DNS-udbydere driver deres infrastruktur.

Google Public DNS og Cloudflares 1.1.1.1 bruger anycast-netværk – en teknik hvor den samme IP-adresse announceres fra flere geografiske placeringer samtidigt. Når du sender en forespørgsel til 8.8.8.8, routes dine pakker til den nærmeste Google-server baseret på netværkstopologi, ikke baseret på en enkelt fysisk placering.

Dette design gør disse resolvere utroligt kraftfulde og modstandsdygtige over for traditionelle DDoS-angreb. De er distribueret på tværs af snesevis af datacentre verden over og kan absorbere enorme mængder trafik.

Men denne samme arkitektur skaber en mulighed for angribere. Fordi transparente forwardere fodrer forespørgsler ind i disse kraftfulde anycastede resolvere, giver de effektivt angribere adgang til en infrastruktur, der er i stand til at generere massive forstærkningseffekter. Resolveren selv ved ikke, at den misbruges – den ser bare indkommende forespørgsler og sender svar. Angrebstrafikken kommer fra resolverens IP-adresser, ikke fra den transparente forwarder, hvilket gør attribution vanskelig.

Hvad Dette Betyder For Din Organisation

Hvis du driver enhver form for netværksinfrastruktur – hvad enten det er et lille kontor, en cloud-installation eller et erhvervsmiljø – bør du revidere din DNS-konfiguration for at sikre, at du ikke utilsigtet opererer en transparent forwarder.

Mange forbruger-routere og noget erhvervsnetværksudstyr leveres med DNS-forwarding aktiveret som standard. Dette er ikke i sig selv ondsindet, men konfigurationen kan skabe sikkerhedssårbarheder, hvis forwarderen er tilgængelig fra internettet og ikke håndterer kilde-IP-oplysninger korrekt.

Hurtig Tjekliste For Netværksadministratorer

1. Identificér dine DNS-forwardere – Vide hvad DNS-udstyr der eksisterer på dit netværk, og hvordan det er konfigureret
2. Begræns adgangen – DNS-forwardere bør ikke være offentligt tilgængelige fra internettet, medmindre de med vilje er konfigureret som offentlige resolvere
3. Brug korrekt recursionskontrol – Hvis du har brug for en rekursiv resolver, skal du sikre, at den har passende adgangskontroller og rate limiting
4. Overvåg for anomalier – Usædvanlige DNS-trafikmønstre kan indikere, at din infrastruktur bliver undersøgt eller brugt i angreb

Det Større Billede

Vedholdenheden af transparente DNS-forwardere som en angrebsvektor illustrerer en bredere sandhed i sikkerhed: nogle gange er de farligste sårbarheder ikke de oplagte, vi kender til, men de oversete komponenter, der stille gør deres arbejde uden at nogen sætter spørgsmålstegn ved deres implikationer.

Efterhånden som internetfællesskabet fortsætter med at gøre fremskridt med at lukke traditionelle åbne DNS-resolvere, repræsenterer transparente forwardere et resterende grænseområde, der kræver opmærksomhed. Den gode nyhed er, at disse enheder er geografisk koncentreret, hvilket betyder, at koordinerede indsatser med specifikke netværksoperatører meningsfuldt kunne reducere den globale angrebsoverflade.

Indtil da forbliver forståelsen af, hvad transparente DNS-forwardere er – og sikringen af, at dine ikke er offentligt eksponeret – et vigtigt skridt i at holde internettets infrastruktur fra at blive våben mod sig selv.

Har du spørgsmål om DNS-sikkerhed eller brug for hjælp til at revidere din netværksinfrastruktur? Vibe Hosting-teamet er klar til at hjælpe dig med at bygge sikre, robuste applikationer fra bunden.