在互聯(lián)網(wǎng)全球化進(jìn)程日益加快的今天,數(shù)據(jù)和網(wǎng)絡(luò)基礎(chǔ)設(shè)施已經(jīng)成為企業(yè)或組織的核心,員工、合作伙伴和客戶之間的聯(lián)系、重要的業(yè)務(wù)進(jìn)程都越來越依賴于互聯(lián)網(wǎng)的支撐,而提供IP地址和域名轉(zhuǎn)換的DNS系統(tǒng),是實(shí)現(xiàn)網(wǎng)絡(luò)應(yīng)用必不可少的前提,對確保企業(yè)互聯(lián)網(wǎng)化運(yùn)作可謂功不可沒。
DNS作為網(wǎng)絡(luò)基礎(chǔ)設(shè)施的一個(gè)根本部分,關(guān)系到企業(yè)的生產(chǎn)力,但正是因?yàn)镈NS應(yīng)用的這種普及性和不可替代性,它又是一個(gè)主要的攻擊途徑。雖然很多企業(yè)正在全力以赴地應(yīng)對網(wǎng)絡(luò)安全威脅,以期能檢測和規(guī)避常見及專業(yè)的網(wǎng)絡(luò)攻擊,但遺憾的是,大多數(shù)企業(yè)并沒有對DNS安全起到足夠的重視,使企業(yè)的數(shù)據(jù)、資產(chǎn)和信譽(yù)都處在風(fēng)險(xiǎn)之中。思科2016年度安全報(bào)告指出,近91.3%的“已知不良”惡意軟件被發(fā)現(xiàn)使用DNS作為主要手段,但68%的企業(yè)卻忽略了這個(gè)問題,并沒有對DNS解析器進(jìn)行監(jiān)測,思科非常形象地把這稱作“DNS盲點(diǎn)”——DNS是互聯(lián)網(wǎng)上最常見的協(xié)議,但它卻成為了最容易被忽視的。
為什么是DNS?攻擊者會(huì)抓住任何互聯(lián)網(wǎng)服務(wù)或協(xié)議的漏洞來發(fā)動(dòng)攻擊,這當(dāng)然也包括DNS。思科2016年安全報(bào)告顯示,惡意軟件一般通過DNS實(shí)現(xiàn)命令與控制(Command and Control)信道、竊取數(shù)據(jù)和重定向流量等三個(gè)目的。
攻擊者曾使用很多信道與他們的僵尸網(wǎng)絡(luò)或惡意主機(jī)通信,比如TCP、IRC或HTTP等,但通過這些通道的惡意軟件流量都可以被防火墻等網(wǎng)絡(luò)安全設(shè)備或方案檢測到并阻止。但對于DNS而言情況卻并非如此。由于DNS服務(wù)的不可替代性,而企業(yè)又缺乏對DNS安全的重視,所以幾乎所有類型的網(wǎng)絡(luò)都會(huì)允許DNS數(shù)據(jù)報(bào)文不受限制地訪問網(wǎng)絡(luò),而不對其流量進(jìn)行過濾或檢查。惡意軟件正是利用了這一點(diǎn),通過在DNS協(xié)議中構(gòu)建隧道,進(jìn)行命令控制和數(shù)據(jù)滲漏。比如通過DNS響應(yīng)來接收指令,并利用DNS查詢請求,傳送竊取到的數(shù)據(jù),如用戶或企業(yè)的敏感信息。利用DNS隧道技術(shù)的攻擊近年來逐漸上升,規(guī)模也越來越大,比如2013年針對Target、2014年針對Sally Beauty和家得寶的攻擊,都是將竊取的數(shù)據(jù)偽裝在DNS查詢到數(shù)據(jù)包中外泄出去;而針對POS(Point of Sale銷售點(diǎn))的惡意軟件族NewPosThings在今年四月也出現(xiàn)了新的變種Multigrain,客戶端感染Multigrain惡意軟件后,Multigrain會(huì)使用精心設(shè)計(jì)的DNS請求包告訴攻擊者已經(jīng)成功在目標(biāo)主機(jī)上進(jìn)行了安裝,之后它會(huì)抓取目標(biāo)機(jī)上的信用卡數(shù)據(jù)(如賬號(hào)密碼等),將數(shù)據(jù)進(jìn)行加密后,每隔5分鐘使用DNS查詢將新的數(shù)據(jù)發(fā)送給攻擊者。除了隧道技術(shù),當(dāng)客戶端與受感染或惡意的DNS服務(wù)器進(jìn)行交互的時(shí)候,正常的域名請求響應(yīng)可能因?yàn)镈NS緩存投毒或DNS重定向而被劫持,引導(dǎo)至惡意網(wǎng)站或被惡意代碼感染。
當(dāng)然,除了惡意軟件,還有很多網(wǎng)絡(luò)攻擊也離不開DNS,比如APT攻擊、垃圾郵件、僵尸網(wǎng)絡(luò)和掛馬網(wǎng)站等,它們都在利用DNS伺機(jī)攻擊企業(yè)的網(wǎng)絡(luò)。根據(jù)Forrester(一家獨(dú)立的技術(shù)和市場調(diào)研公司)最新發(fā)布的亞太地區(qū)漏洞管理趨勢調(diào)研報(bào)告顯示:在過去的一年中,80%的公司曾遭受至少一次的攻擊,最常見的是釣魚和基于DNS的攻擊。
盡管DNS是很多攻擊的源頭,但大多數(shù)企業(yè)并沒有對DNS基礎(chǔ)設(shè)施進(jìn)行監(jiān)控。對于他們來說,DNS可能僅是一種實(shí)用工具,是在后面運(yùn)行的系統(tǒng),只要DNS能正常運(yùn)行,那些隱藏在DNS流量之下的危險(xiǎn)就可以忽視不管了。不能任由DNS躺在那里,門戶大開了。為此US-CERT(United States Computer Emergency Readiness Team美國計(jì)算機(jī)應(yīng)急小組)提出應(yīng)控制企業(yè)內(nèi)網(wǎng)到外網(wǎng)的DNS流量來保證DNS請求和響應(yīng)的安全性:即只能向企業(yè)內(nèi)部被授權(quán)的DNS緩存域名服務(wù)器發(fā)起請求和接收響應(yīng),不允許直接使用外網(wǎng)DNS系統(tǒng)。具體措施包括自建企業(yè)DNS緩存服務(wù)器,對企業(yè)DNS流量進(jìn)行監(jiān)控和過濾,除了內(nèi)網(wǎng)DNS緩存域名服務(wù)器和授權(quán)域名服務(wù)器,對所有向53端口發(fā)送和接收的UDP和TCP流量進(jìn)行阻止和過濾。除了這些具體措施,國內(nèi)DNS解決方案提供商泰策也一再強(qiáng)調(diào)DNS基礎(chǔ)設(shè)施建設(shè)的重要性,呼吁企業(yè)盡快建立自己的DNS系統(tǒng):一方面對DNS流量進(jìn)行必要的監(jiān)控和管理,這是檢測潛在惡意網(wǎng)絡(luò)活動(dòng)的一個(gè)重要工具;另一方面對DNS數(shù)據(jù)報(bào)文進(jìn)行分析和處理,阻斷對惡意鏈接的訪問,避免垃圾郵件、掛馬網(wǎng)站、僵尸網(wǎng)絡(luò)和釣魚網(wǎng)站的侵害。此外,落實(shí)DNS基礎(chǔ)設(shè)施建設(shè)也不僅僅是一項(xiàng)未雨綢繆的舉措,DNS數(shù)據(jù)中有大量的信息可向企業(yè)提供網(wǎng)絡(luò)內(nèi)部發(fā)生的情況,在企業(yè)遭受基于DNS的安全威脅時(shí),DNS就有了更多的用武之地,大量的DNS數(shù)據(jù)記錄可幫助網(wǎng)絡(luò)安全人員分提取有效信息、進(jìn)行必要的取證和防護(hù)處理??傊珼NS是所有在線服務(wù)的立足之本,DNS安全涉及企業(yè)安全根本,重視DNS,正是此刻。