DNS-Angriffe verstehen: Schwachstellen erkennen und beheben

Das Domain Name System (DNS) übersetzt Domainnamen in IP-Adressen. Jedes Gerät und jede Website hat eine IP-Adresse, über die andere Geräte, Websites und Online-Dienste mit ihnen kommunizieren. IP-Adressen bestehen aus einer Zahlenfolge und haben üblicherweise das Format 000.000.000.000. Da sich Menschen diese Zahlen nur schwer merken können, verwenden wir Domainnamen. Wenn Sie Google besuchen möchten, geben Sie einfach den Domainnamen in die Adressleiste Ihres Browsers ein. Der DNS-Dienst übersetzt den eingegebenen Domainnamen „google.com“ dann in die entsprechende IP-Adresse, die ein Computer verwendet.

DNS ist ein grundlegender Bestandteil der Internetinfrastruktur, da jede Kommunikation mit einer DNS-Namensauflösung beginnen muss. Ist DNS nicht verfügbar, funktionieren Internetprogramme nicht mehr.

DNS-Angriffe sind Angriffe auf die Stabilität und Sicherheit der DNS-Infrastruktur. Häufig sollen sie DNS-Dienste lahmlegen oder die von DNS gelieferten Antworten abfangen und verändern, sodass ahnungslose Benutzer auf schädliche Websites geleitet werden. Die DNS-Infrastruktur umfasst zwei Komponenten – autoritative und rekursive DNS-Server –, die beide Angriffen ausgesetzt sind.

Im Folgenden sehen wir uns die häufigsten Angriffe auf DNS an und prüfen Gegenmaßnahmen, mit denen Sie sie verhindern können.

Crashkurs zu DNS-Angriffen

Es gibt verschiedene Arten von DNS-Angriffen. Sie funktionieren unterschiedlich, haben jeweils andere Auswirkungen und erfordern spezifische Gegenmaßnahmen.

Spoofing

DNS-Spoofing liegt vor, wenn Angreifer legitime DNS-Servereinträge verändern, um Benutzer auf betrügerische Websites statt auf das gewünschte Ziel umzuleiten.

Wenn ahnungslose Benutzer auf der betrügerischen Website landen, fordert diese sie auf, vertrauliche Informationen wie Anmeldedaten oder Kreditkartendaten einzugeben. Angreifer nutzen diese Methode, um vertrauliche Daten des Opfers zu stehlen oder Malware – etwa Ransomware oder Keylogger – auf dessen Gerät einzuschleusen.

Angreifer führen DNS-Spoofing-Angriffe mit zwei Methoden aus:

• Sie fangen die Kommunikation zwischen dem Zielgerät und dem DNS-Server ab und leiten die Anfragen der Benutzer an eine schädliche Website um.

• Sie greifen den legitimen DNS-Server direkt an und zwingen ihn, schädliche IP-Adressen zurückzugeben.

Um diesem Angriff entgegenzuwirken, sollten wir:

• Die DNS-Server-Software regelmäßig aktualisieren und patchen.

• Prüfen, ob die Website das Symbol für eine sichere Verbindung (Vorhängeschloss) anzeigt. Dieses Symbol erscheint neben der Adressleiste des Webbrowsers. Fehlt das Vorhängeschloss, könnte das darauf hindeuten, dass Angreifer die Website für schädliche Zwecke nachgebildet haben.

• Die Domain Name System Security Extensions (DNSSEC) für die Domain aktivieren. Diese Erweiterungen erhöhen die Sicherheit, indem sie DNS-Informationen mit einer digitalen Signatur versehen.

Cache-Poisoning

Bei diesem Angriff schleust der Angreifer falsche DNS-Informationen in den DNS-Cache ein. So gibt dieser falsche Informationen zurück und leitet Benutzer auf schädliche Websites um. Fordert ein Benutzer beispielsweise google.com an, gibt der manipulierte DNS-Server die IP-Adresse einer anderen Website zurück, auf der sich möglicherweise ein Exploit-Kit oder eine Phishing-Seite befindet.

DNS-Cache-Poisoning und Spoofing werden in der Cybersicherheit oft synonym verwendet. Sie unterscheiden sich jedoch in ihrer Funktion und zeitlichen Abfolge. Beim DNS-Poisoning ersetzen Angreifer DNS-Einträge, um ahnungslose Benutzer auf schädliche Ziele umzuleiten. Anschließend leitet DNS-Spoofing ahnungslose Benutzer mithilfe eines vergifteten Cache zur schädlichen Website weiter.

Um einen DNS-Poisoning-Angriff zu verhindern, sollten wir:

• DNSSEC verwenden, das auf Public-Key-Kryptografie basiert. So wird sichergestellt, dass nur ein legitimer DNS-Nameserver eine Anfrage mit den korrekten DNS-Informationen beantwortet.

• Lokale DNS-Server daran hindern, DNS-Anfragen aus dem Internet zu beantworten – es sei denn, unser DNS-Nameserver ist bei ICANN registriert.

DoS/DDoS/Überflutung

Bei einer DNS-Überflutung versuchen Angreifer, DNS-Server mit falschen DNS-Anfragen zu überlasten, damit diese keine legitimen Anfragen mehr bearbeiten können. Es gibt zwei Arten von DNS-Flood-Angriffen: Denial-of-Service- (DoS-) und Distributed-Denial-of-Service- (DDoS-)Flood-Angriffe.

DoS-Flood-Angriff

Bei einem DoS-Flood-Angriff nutzt der Angreifer einen Computer, um einen entfernten DNS-Server mit falschem Datenverkehr zu überfluten. Diese Methode ist nicht mehr effektiv, da moderne DNS-Server über so leistungsfähige technische Spezifikationen verfügen, dass ein einzelnes Gerät sie nicht außer Betrieb setzen kann.

DDoS-DNS-Flood-Angriff

Der DDoS-DNS-Flood ist der effektivste Angriffsmechanismus. Dabei setzen Angreifer viele Geräte gegen einen DNS-Server ein. Dadurch werden Arbeitsspeicher und CPU-Ressourcen des Zielservers aufgebraucht, bis er schließlich offline geht.

In der Cybersicherheit kann ein Bot jedes beliebige Computergerät bezeichnen, zum Beispiel einen Laptop, eine Workstation oder ein mit Malware infiziertes und von einem Angreifer kontrolliertes Internet-of-Things-Gerät (IoT). Eine Gruppe solcher Bots wird Botnet genannt.

Angreifer nutzen häufig Botnetze mit Tausenden oder Millionen kompromittierter Geräte, auf denen schädliche Skripte ausgeführt werden. Sie koordinieren den Angriff, indem sie alle Geräte anweisen, gleichzeitig Datenverkehr an einen Server zu senden und so einen DoS-Zustand herbeizuführen.

DNS-Flood-Angriffe gelten als relativ moderne Angriffe, die durch die weltweit wachsende Zahl von IoT-Geräten stark begünstigt werden. Viele IoT-Geräte sind schlecht konfiguriert und lassen sich daher von Hackern leicht kontrollieren.

Um DDoS- und DoS-Flood-Angriffe zu verhindern, sollten wir:

• Einen DDoS-Abwehrdienst nutzen, um zu verhindern, dass externe Angreifer unsere DNS-Server mit falschen Anfragen überlasten.

• Einen dedizierten Server als autoritativen Nameserver und einen weiteren als DNS-Resolver einsetzen. So kann eine Komponente weiterarbeiten, wenn die andere ausfällt.

• Einen dedizierten DNS-Server verwenden. Kleine und mittelständische Unternehmen nutzen oft einen Server für mehrere Zwecke, etwa zum Hosten von Anwendungen und zum Betrieb des DNS-Dienstes. Erlangt ein Angreifer jedoch Zugriff auf eine auf dem Server gehostete Anwendung, kann er die DNS-Einstellungen kompromittieren und verändern.

NXDomain

Wie bei einem DNS-Flood-Angriff wird beim NXDomain-Angriff der Ziel-DNS-Server mit zahlreichen Anfragen nach ungültigen Einträgen (nicht existierenden Domainnamen) überlastet. Für den Angriff verwenden Angreifer einen DNS-Proxyserver, der automatisch eine enorme Anzahl von DNS-Anfragen an den angegriffenen autoritativen DNS-Server sendet. Der autoritative Server verbraucht Ressourcen, indem er diese ungültigen Anfragen auflöst und seinen Cache füllt. Dadurch beantwortet er legitime Anfragen langsamer und reagiert schließlich überhaupt nicht mehr.

Um einen DNS-NXD-Flood-Angriff zu verhindern, sollten wir:

• Regelmäßige DNS-Audits durchführen.

• Verdächtige Domainnamen und Server auf eine Sperrliste setzen.

• Die IP-Adresse eines Clients vorübergehend sperren, wenn dieser zu viele NXDomain-Anfragen sendet.

• Die Time to Live (TTL) aktueller DNS-Einträge erhöhen, damit sie länger in externen DNS-Caches erhalten bleiben. Diese Einträge müssen nicht regelmäßig aktualisiert werden.

Verstärkungsangriffe

Dies ist ein weiterer DDoS-Angriff, der verhindern soll, dass der Ziel-DNS-Server legitime DNS-Anfragen bearbeitet. Dabei missbrauchen Angreifer offene DNS-Server, um zahlreiche Antworten an den Zielserver zu senden.

Angreifer starten diesen Angriff, indem sie zahlreiche DNS-Anfragen an den offenen DNS-Server senden und dabei die IP-Adresse des Ziels als Absenderadresse verwenden. Der offene DNS-Server schickt die Antwort an den Anfragenden zurück – in diesem Beispiel an die gefälschte IP-Adresse des Ziels. Durch die vielen DNS-Antworten wird der Zielserver schließlich überlastet: Seine Netzwerkbandbreite wird aufgebraucht, und er reagiert nicht mehr auf legitime Anfragen.

Angreifer nutzen häufig Botnetze, insbesondere auf IoT-Geräten, um gefälschte DNS-Anfragen zu generieren und die Zielserver oder das Netzwerk eines Unternehmens mit DNS-Antworten zu überlasten.

Um diesen Angriff zu verhindern, sollten wir:

• Quell-IP-Adressen auf allen Netzwerkgeräten überprüfen.

• Verhindern, dass autoritative DNS-Nameserver als rekursive Server fungieren.

• Auf allen DNS-Servern Einstellungen zur Begrenzung der Antwortrate (Response Rate Limiting, RRL) erzwingen.

• Offene DNS-Resolver so konfigurieren, dass sie nur auf Anfragen aus vertrauenswürdigen Quellen antworten.

Hijacking

Bei diesem Angriff manipulieren Angreifer DNS-Antworten, um ahnungslose Benutzer auf betrügerische oder schädliche Websites umzuleiten. Der Angriff erfolgt durch:

• Installation von Malware, etwa eines Trojaners, auf dem Computer des Opfers. Dadurch werden DNS-Anfragen falsch aufgelöst und ahnungslose Benutzer auf schädliche Websites geleitet.

• Kompromittierung des Zielrouters und Änderung seiner DNS-Einstellungen. Dies betrifft alle Benutzer, die mit dem Router verbunden sind.

• Abfangen der Kommunikation zwischen dem legitimen DNS-Server und dem Gerät des Benutzers – wie bei einem Man-in-the-Middle-Angriff – und Manipulation der DNS-Antworten, um ahnungslose Benutzer auf schädliche Websites zu leiten.

• Direkter Angriff auf den DNS-Server und anschließende Änderung seiner DNS-Einstellungen, um ahnungslose Benutzer auf andere URLs umzuleiten.

Obwohl dieser Angriff schädlich ist, nutzen manche Internetdienstanbieter (ISPs) diese Technik, um Benutzer auf andere Websites umzuleiten. Einige ISPs verwenden sie beispielsweise, um auf Grundlage des Browserverlaufs eines Benutzers Werbung einzublenden.

Rebinding

Bei diesem Angriff infiziert der Angreifer den Zielrouter mit Malware, um ihn aus der Ferne zu kontrollieren. Der Angriff beginnt damit, dass schädlicher JavaScript-Code im Browser eines Benutzers ausgeführt wird, um den Router zu infizieren. Viele Menschen schützen ihren Router nicht mit einem komplexen Passwort oder verwenden einfach die werkseitig voreingestellten Zugangsdaten. Dadurch sind sie anfällig für Rebinding-Angriffe.

Ein guter erster Schritt zum Schutz vor Rebinding-Angriffen ist, den Router mit einem sicheren Passwort zu schützen. Außerdem sollten wir:

• Den standardmäßigen Benutzernamen und das Passwort des Routers durch schwer zu erratende Angaben ersetzen.

• Den DNS-Server sowie alle Client-Betriebssysteme und installierten Anwendungen auf dem neuesten Stand halten.

Tunneling

Bei diesem DNS-Angriff wird der Datenverkehr ahnungsloser Benutzer zum Server des Angreifers geleitet. Ransomware-Betreiber setzen diese Methode häufig ein, um die Kommunikation mit dem Command-and-Control-Center (C&C) zu ermöglichen und Daten vom Zielgerät zu exfiltrieren.

DNS-Tunneling umgeht die Erkennung durch Sicherheitstools wie Firewalls. Angreifer senden gestohlene Daten aus dem Zielnetzwerk in kleinen Teilen und übermitteln sie als Folge von DNS-Anfragen und -Antworten, um nicht entdeckt zu werden.

Ein DNS-Tunneling-Angriff läuft folgendermaßen ab:

1. Der Angreifer betreibt einen Server, auf den ein Domainname verweist. Auf diesem Server läuft Tunneling-Malware.

2. Der Angreifer infiziert einen Computer mit Malware. Der infizierte Computer befindet sich möglicherweise hinter einer Unternehmensfirewall, kann aber den DNS-Resolver verwenden.

3. Der DNS-Resolver kann nun mit dem entfernten C&C-Server des Angreifers kommunizieren.

4. Auf diese Weise entsteht zwischen jedem infizierten Gerät und dem Server des entfernten Angreifers ein verdeckter Kanal. Über diesen können Daten vom Gerät des Opfers exfiltriert oder weitere Malware, etwa Ransomware, auf das Zielgerät geladen werden.

Um diesen Angriff zu verhindern, sollten wir:

• Fortschrittliche Sicherheitslösungen einsetzen, darunter Next-Generation-Firewalls an den Netzwerkgrenzen sowie Network Detection and Response (NDR), um alle Interaktionen in unserer IT-Umgebung zu überwachen. So können wir APT- und Ransomware-Akteure erkennen und die Kommunikation mit den Servern der Angreifer unterbinden.

• Alle Geräte im Netzwerk eines Unternehmens so konfigurieren, dass sie sämtliche DNS-Anfragen an einen internen DNS-Server senden, der verdächtige Domainnamen blockiert.

Phantom-Domain

Bei diesem Angriff richtet der Angreifer zahlreiche Phantom-Domainnamen ein und fordert den Ziel-DNS-Server auf, sie aufzulösen. Diese Domains – häufig zahlreiche Subdomainnamen – antworten nur sehr langsam oder überhaupt nicht. Nach einiger Zeit ist der Cache des Ziel-DNS-Servers mit den ausstehenden Anfragen nach Antworten von den Domains des Angreifers gefüllt, und der Server reagiert schließlich nicht mehr.

Um diesen Angriff zu verhindern, sollten wir:

• Die Anzahl rekursiver DNS-Server erhöhen.

• Die Anzahl aufeinanderfolgender rekursiver DNS-Anfragen pro DNS-Server begrenzen.

Fazit

Der DNS-Dienst ist ein wesentlicher Bestandteil der Internetinfrastruktur. Er übersetzt Domainnamen von Nutzern in IP-Adressen, die andere Server verarbeiten können. Allerdings wurde er nicht für Sicherheitszwecke entwickelt. Mit der weitverbreiteten Nutzung des Internets und der zunehmenden Zahl von Cyberangriffen interessieren sich Cyberkriminelle immer stärker für DNS-Angriffe.

Jeder Angriff auf den DNS-Dienst verhindert, dass Internetprogramme ordnungsgemäß funktionieren. Cyberkriminelle wissen das und haben zahlreiche Methoden entwickelt, um DNS-Dienste für böswillige Zwecke anzugreifen.

Es gibt verschiedene Techniken, um den DNS-Dienst anzugreifen. Sie lassen sich in zwei Hauptkategorien einteilen:

• Angriffe, die darauf abzielen, den DNS-Dienst außer Betrieb zu setzen

• Angriffe, die darauf abzielen, DNS-Einträge zu manipulieren und ahnungslose Nutzer zu bösartigen Zielen zu führen

Wie dieser Artikel gezeigt hat, erfordert jede Art von DNS-Angriff andere Gegenmaßnahmen. Generell lässt sich jedoch sagen, dass Sie DNS-Angriffe verhindern können, indem Sie die Software Ihres DNS-Servers auf dem neuesten Stand halten, einen dedizierten DNS-Server für den DNS-Dienst verwenden, die Anzahl rekursiver DNS-Server erhöhen und auf Schwachstellen prüfen, um DDoS-Angriffe abzuwehren.