Den skjulte DNS-trusselen du sannsynligvis ikke vet om: Transparente forwardere og amplifikasjonsangrep

De fleste som har satt opp hjemmerutere eller bedriftsnettverk har støtt på DNS-innstillinger uten å egentlig forstå hva de betyr. Vi vet at DNS oversetter domenenavn til IP-adresser. Men få tenker over hvordan denne kritiske infrastrukturen kan utnyttes – og at én spesiell DNS-komponent fortsetter å skape problemer selv når andre lignende trusler har blitt adressert.

Godt nytt? Vel, egentlig ikke.

Her er noe som høres ut som gode nyheter, men som bør gi sikkerhetsfolk hodepine: Antallet åpne DNS-enheter tilgjengelig fra internett har falt drastisk de siste ti årene. Vi snakker om en reduksjon fra over 25 millioner eksponerte enheter i 2014 til rundt 1,4 millioner i dag. Det er omtrent 94 prosent forbedring.

Men så kommer vrangfunnet. Mens tradisjonelle åpne DNS-resolvere og rekursive forwardere har sunket betydelig, har transparente DNS-forwardere nektet å forsvinne. Selv etter at forskere gjennomførte ansvarlige avsløringsprogrammer som fjernet over 250 000 enheter fra trussellandskapet, fortsetter disse transparente forwarderne å eksistere i enorme mengder på internett.

Dette er viktig fordi transparente DNS-forwardere utgjør en spesielt farlig kategori utstyr som de fleste organisasjoner ikke engang vet at de har.

Hva i all verden er en transparent DNS-forwarder?

La meg forklare dette på en fornuftig måte.

Når du sender en DNS-forespørsel, spør enheten din en DNS-resolver om å slå opp en adresse. En standard rekursiv DNS-resolver behandler denne forespørselen, kontakter nødvendige autoritative servere, og returnerer svaret. Disse resolverne har som regel innebygde sikkerhetstiltak – de kan begrense antall forespørsler, begrense hvem som kan stille spørsmål, og generelt oppføre seg ansvarlig.

En transparent DNS-forwarder fungerer annerledes. Tenk på den som en nettverksmellommann som ikke gjør noe av det tunge arbeidet. I stedet for å løse DNS-forespørsler selv, videresender den dem ganske enkelt til en annen DNS-server – vanligvis en kraftigere rekursiv resolver fra Google, Cloudflare eller lignende store aktører.

Det kritiske problemet? Transparente forwardere omskriver ikke kilde-IP-adressen til pakkene de videresender.

Dette betyr at når en transparent forwarder sender din DNS-forespørsel til Googles 8.8.8.8-resolver, ser den resolveren forespørselen som om den kommer direkte fra din opprinnelige IP-adresse – ikke fra forwarderen. Ingen oversettelse skjer. Ingen sikkerhetssjekk utløses på forwarderens side. Pakken flyter rett gjennom som vann i et rør.

Hvorfor dette skaper en perfekt angrepsflate

Her blir det interessant for alle som har ansvar for nettsikkerhet.

Angripere har oppdaget at de kan sende DNS-forespørsler med en forfalsket kilde-IP-adresse – spesifikt IP-adressen til deres tiltenkte offer. Den transparente forwarderen sender lojalt denne forespørselen videre til en kraftig rekursiv resolver (ofte en av Googles eller Cloudflares anycast-servere, som kan håndtere enorme trafikkmengder). Resolveren behandler forespørselen og sender svaret til offerets IP-adresse.

Men her kommer amplifikasjonsfaktoren: DNS-svar kan være betydelig større enn forespørslene som utløser dem. En liten forespørsel om DNS-poster kan generere et svar som er 10, 50 eller til og med 100 ganger større. Når du oversvømmer et offer med trafikk, er det en enorm fordel å sende dem pakker som er 50 ganger større enn det du måtte sende til forwarderen.

Offeret mottar en lavine av svar de aldri ba om, mens angriperen kun sendte små forespørsler. Den transparente forwarderen – som aldri engang ser svarene – fortsetter uvitende om at den er en del av angrepsinfrastrukturen.

Tallene bak trusselen

Forskning fra RIPE Atlas avslører noen tankevekkende statistikker:

• 175 land har offentlig tilgjengelige transparente DNS-forwardere
• Brasil og India står alene for 55 prosent av alle oppdagede enheter – Brasil på 31 prosent og India på 24 prosent
• 76 prosent av transparente forwardere er konfigurert til å bruke enten Googles eller Cloudflares offentlige DNS-resolvere
• Mens andre åpne DNS-komponenter har sunket kraftig, har transparente forwardere forblitt relativt stabile

Denne geografiske konsentrasjonen presenterer faktisk både en utfordring og en mulighet. Med de fleste enhetene konsentrert i relativt få regioner, er det mulig å koordinere med spesifikke nettverksoperatører for å redusere angrepsoverflaten mer effektivt enn globale tiltak alene kunne oppnådd.

Anycast-fordelen (for angripere)

Transparente forwardere får ekstra betydning når du tenker på hvordan store DNS-leverandører drifter sin infrastruktur.

Google Public DNS og Cloudflares 1.1.1.1 bruker anycast-nettverking – en teknikk der samme IP-adresse annonseres fra flere geografiske lokasjoner samtidig. Når du sender en forespørsel til 8.8.8.8, rutes pakkene dine til nærmeste Google-server basert på nettverkstopologi, ikke basert på én enkelt fysisk lokasjon.

Dette designet gjør disse resolverne utrolig kraftige og motstandsdyktige mot tradisjonelle DDoS-angrep. De er distribuert over dusinvis av datasentre globalt og kan absorbere enorme trafikkmengder.

Men denne samme arkitekturen skaper en mulighet for angripere. Fordi transparente forwardere mater forespørsler inn i disse kraftige anycast-resolverne, gir de effektivt angripere tilgang til en infrastruktur som er i stand til å generere massive amplifikasjonseffekter. Resolveren selv vet ikke at den blir misbrukt – den ser bare innkommende forespørsler og sender svar. Angrepsrafikken kommer fra resolverens IP-adresser, ikke fra den transparente forwarderen, noe som gjør attribusjon vanskelig.

Hva dette betyr for din organisasjon

Hvis du drifter noe nettverksinfrastruktur – enten det er et lite kontoroppsett, skybasert distribusjon eller bedriftsmiljø – bør du revidere DNS-konfigurasjonen din for å sikre at du ikke utilsiktet opererer en transparent forwarder.

Mange forbrukerutstyrte rutere og enkelte bedriftsnettverksenheter leveres med DNS-forwarding aktivert som standard. Dette er ikke ondsinnet i seg selv, men konfigurasjonen kan skape sikkerhetsproblemer hvis forwarderen er tilgjengelig fra internett og ikke håndterer kilde-IP-informasjon skikkelig.

Rask sjekkliste for nettverksadministratorer

1. Kartlegg dine DNS-forwardere – Vit hvilket DNS-utstyr som finnes på nettverket ditt og hvordan det er konfigurert
2. Begrens tilgangen – DNS-forwardere skal ikke være offentlig tilgjengelig fra internett med mindre de er intensjonelt konfigurert som offentlige resolvere
3. Bruk skikkelig resursjonskontroll – Hvis du trenger en rekursiv resolver, sørg for at den har hensiktsmessige tilgangskontroller og ratebegrensning
4. Overvåk for anomalier – Uvanlige DNS-trafikkmønstre kan indikere at infrastrukturen din blir undersøkt eller brukt i angrep

Det store bildet

Bestandigheten til transparente DNS-forwardere som angrepsvei illustrerer en bredere sannhet i sikkerhet: Noen ganger er de farligste sårbarhetene ikke de åpenbare vi kjenner til, men de oversette komponentene som stille utfører jobben sin uten at noen stiller spørsmål ved implikasjonene deres.

Etter hvert som internettfellesskapet fortsetter å gjøre framgang med å stenge tradisjonelle åpne DNS-resolvere, representerer transparente forwardere et gjenværende grenseområde som krever oppmerksomhet. Det gode nytt er at disse enhetene er geografisk konsentrert, noe som betyr at koordinerte tiltak med spesifikke nettverksoperatører meningsfullt kan redusere den globale angrepsoverflaten.

Inntil da forblir forståelsen av hva transparente DNS-forwardere er – og å sikre at dine ikke er offentlig eksponert – et viktig skritt i å holde internettets infrastruktur fra å bli våpen mot seg selv.

Spørsmål om DNS-sikkerhet eller trenger hjelp med å revidere nettverksinfrastrukturen din? Vibe Hosting-teamet er her for å hjelpe deg med å bygge sikre, robuste applikasjoner fra grunnen av.