Domain Name System (DNS) är en automatiserad tjänst som översätter resursnamn, såsom www.cisco.com, till numeriska nätverksadresser, exempelvis IPv4- eller IPv6-adresser. Utöver själva namnuppslagningen definierar DNS även hur förfrågningar och svar (request och reply) är uppbyggda, hur data struktureras samt hur resursposter (Resource Records, RR) används för att identifiera olika typer av information.
DNS används i alla typer av nätverk och på alla plattformar, oavsett operativsystem. Det innebär att både klienter och servrar är beroende av DNS för att kunna kommunicera korrekt. I praktiken finns flera olika implementationer av DNS-servermjukvara. I Windows-miljöer används ofta DNS-tjänsten i Microsoft Windows Server och Active Directory, medan många Linux- och Unix-baserade system använder BIND (Berkeley Internet Name Domain).
Trots skillnader i implementation fungerar DNS på samma sätt oavsett plattform, vilket innebär att samma sårbarheter och säkerhetsproblem kan förekomma i alla miljöer.
Säkerhet i DNS
Säkerheten kring DNS förbises ofta, trots att tjänsten är en kritisk del av nätverkets funktion. DNS utvecklades ursprungligen utan starka säkerhetsmekanismer, vilket innebär att till exempel källadresser inte alltid verifieras och att svar kan manipuleras.
Eftersom nästan all nätverkstrafik på något sätt är beroende av DNS blir tjänsten ett attraktivt mål för hotaktörer.
DNS-resolver
En viktig komponent i DNS-infrastrukturen är DNS-resolvers.
Många organisationer använder publika DNS-servrar, till exempel Google DNS (8.8.8.8). När en DNS-server accepterar och besvarar förfrågningar från klienter utanför sin administrativa domän kallas den en öppen DNS-resolver. Även om detta gör tjänsten lättillgänglig innebär det också en säkerhetsrisk, eftersom sådana servrar kan utnyttjas i olika typer av attacker.
Vanliga DNS-attacker:
Det finns flera typer av attacker som riktar sig mot DNS, däribland DNS open resolver-attacker, DNS stealth-attacker, DNS domain shadowing-attacker och DNS tunneling-attacker. Dessa attacker utnyttjar olika svagheter i hur DNS fungerar, men har gemensamt att de försöker missbruka en legitim och grundläggande nätverkstjänst.
- DNS domain shadowing-attacker
- DNS open resolver-attacker
- DNS stealth-attacker
- DNS tunneling-attacker
Generella skyddsåtgärder
För att skydda DNS krävs en kombination av korrekt konfiguration, övervakning och säkerhetsfunktioner. En central åtgärd är att begränsa vilka klienter som får använda en DNS-resolver, så att endast interna eller betrodda nät tillåts skicka rekursiva förfrågningar.
Det är också viktigt att verifiera och filtrera inkommande trafik, till exempel genom att upptäcka spoofade IP-adresser. Regelbunden övervakning av DNS-trafik gör det möjligt att identifiera ovanliga mönster, medan uppdaterade system och säkerhetsfunktioner minskar risken för kända sårbarheter.
- begränsa vilka klienter som får använda DNS-servrar genom att endast tillåta interna eller betrodda nät att skicka rekursiva DNS-förfrågningar.
- verifiera och filtrera inkommande trafik (t.ex. spoofade IP-adresser)
- övervaka DNS-trafik för ovanliga mönster
- använda säkerhetsfunktioner och uppdaterade system
DNSSEC
För att skydda DNS mot manipulation används DNSSEC (Domain Name System Security).
DNSSEC bygger på digitala signaturer som gör det möjligt att verifiera att ett DNS-svar är autentiskt och inte har förändrats på vägen. Detta skyddar effektivt mot attacker som DNS cache poisoning. Det är dock viktigt att förstå att DNSSEC inte skyddar mot alla typer av attacker. Till exempel kan det inte förhindra DNS amplification-attacker eller DNS tunneling, eftersom dessa attacker handlar om hur DNS används snarare än om riktigheten i själva svaret.
- DNSSEC säkerställer att DNS-svar är autentiska genom att använda digitala signaturer.
- Detta skyddar mot attacker som DNS cache poisoning, men förhindrar inte andra typer av attacker som DNS amplification eller tunneling.
Sammanfattning
Sammanfattningsvis är DNS en grundläggande men sårbar tjänst i nätverk. Eftersom den är öppen, distribuerad och används av nästan all kommunikation kräver den noggrann hantering. Effektiv DNS-säkerhet bygger därför på att kombinera tekniska skyddsåtgärder med kontinuerlig övervakning och medvetenhet om hur tjänsten kan utnyttjas.