DNS في الهجمات والدفاع

يقع DNS في مرحلة مبكرة جدًا من كل اتصال لدرجة أنه يظهر على جانبي الأمان معًا: يعتمد المهاجمون على كيفية اختيار أسماء النطاقات وحلّها، ويستخدم المدافعون النظام نفسه لحجب الوجهات المعروفة بأنها ضارة. يستحق ثلاثة استخدامات لـ DNS أن نفهمها بذاتها.

التصيّد الاحتيالي والنطاقات المتشابهة

لا يحتاج موقع تصيّد احتيالي إلى كسر DNS؛ بل يحتاج فقط إلى اسم نطاق قريب بما يكفي لخداع قارئ مستعجل. تصف وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA) هذا النمط بالضبط: «قد تبدو المواقع الخبيثة مطابقة تمامًا لموقع شرعي، لكن الرابط قد يستخدم اختلافًا في التهجئة أو نطاقًا مختلفًا (مثل .com مقابل .net).» وتوصي CISA أيضًا بالتحقق من الوجهة الفعلية للرابط قبل الوثوق به: «إذا مررت مؤشرك فوق أي رابط في متن الرسالة، ولم تتطابق الروابط مع النص الذي يظهر عند تمرير المؤشر فوقها، فقد يكون الرابط مزوَّرًا.»

حجب DNS

ولأن الجهاز يسأل مُحلِّلًا قبل أن يتمكن من الوصول إلى موقع أصلًا، يستطيع من يتحكم في ذلك المُحلِّل منع الاتصال بهدوء من أن يبدأ أساسًا. توضح مؤسسة الحدود الإلكترونية (EFF) الآلية بجلاء: «يمكن لمزود خدمة الإنترنت برمجة مُحلِّل DNS الخاص به ليعطي إجابة غير صحيحة، أو لا يعطي إجابة على الإطلاق، كلما حاول مستخدم البحث عن موقع موقع أو خدمة محجوبة.» والانتقال إلى مُحلِّل يجيب بصدق يمكن أن يعيد الوصول، ويضيف استخدام DNS المشفَّر (الدرس السابق) طبقة أخرى، لأنه يمكن أن «يمنع أي طرف على الشبكة من رؤية (وترشيح) حركة DNS الخاصة بك.» كما تشير EFF إلى حدود هذا النهج: «إذا كنت تستخدم أيًا من خدمات DNS المشفَّرة الشائعة مثل 1.1.1.1 أو 8.8.8.8، فاعلم أن الحكومات يمكنها استهداف هذه النقاط» مباشرة.

نفق DNS

يُسمح بمرور حركة بيانات DNS عبر جدران الحماية بشكل روتيني لدرجة يمكن معها استغلالها كقناة بحد ذاتها. يصف MITRE ATT&CK، وهو الكتالوج المستخدَم على نطاق واسع لتقنيات المهاجمين الواقعية، هذا الأمر بأنه نفق DNS: «قد يستغل الخصوم DNS للتواصل مع أنظمة تحت سيطرتهم داخل شبكة الضحية، مع محاكاة حركة البيانات الطبيعية والمتوقعة في الوقت نفسه.» عمليًا، يعني هذا أن الأوامر أو البيانات المسروقة تُرمَّز داخل استعلامات واستجابات DNS، التي تمر دون أن يُلاحَظ أمرها وسط عمليات البحث المشروعة التي يجريها كل جهاز باستمرار. إنها تقنية مبنية داخل بروتوكول أساسي وعادي في ظاهره، وهذا جزء من سبب صعوبة حجبها كليًا من قبل الشبكة.

اختيار مُحلِّل

لا يوجد مُحلِّل واحد "آمن" ببساطة: فكل خيار ينقل الرؤية إلى مكان ما. تشير Cloudflare إلى أن مُحلِّلها العام، 1.1.1.1، «يدعم كلًا من DoT وDoH»، وتقدّم مُحلِّلات عامة أخرى الخيارات المشفَّرة نفسها؛ وأيًا كان اختيارك، يصبح ذلك المشغّل هو الطرف الذي يرى عمليات بحثك، كما وصف الدرس السابق عن الرؤية. ويمكن لمُحلِّل يحجب أيضًا النطاقات المعروفة بأنها ضارة أن يمنع بحثًا من الوصول أبدًا إلى نطاق تصيّد احتيالي أو هجوم مؤكَّد، لكنه مجرد مرشِّح، لا ضمان بأن كل نطاق خطير سيكون على قائمته.

لا شيء من هذا يشكّل وعدًا بأن إعدادًا واحدًا يجعل جهازًا آمنًا: فـDNS طبقة واحدة من طبقات كثيرة، ويتكيف المهاجمون المصممون وذوو الموارد الكافية مع أي دفاع بمفرده. أي شخص يواجه تهديدًا محددًا وخطيرًا، صحفي، ناشط، شخص تحت مراقبة مستهدفة، يستفيد أكثر من مساعدة الخبراء منه من قائمة تحقق. يقدم خط المساعدة الأمنية الرقمية التابع لـ Access Now مساعدة تقنية مباشرة ومجانية للأشخاص والمنظمات المعرَّضين للخطر، وتدعم مؤسسة حرية الصحافة الصحفيين بإرشادات مماثلة في الأمان الرقمي.