DNS в атаках и защите

DNS находится настолько рано в каждом соединении, что появляется по обе стороны безопасности: атакующие полагаются на то, как выбираются и разрешаются доменные имена, а защитники используют ту же систему, чтобы блокировать заведомо опасные адреса. Три способа применения DNS стоит рассмотреть отдельно.

Фишинг и похожие домены

Фишинговому сайту не нужно ломать DNS; ему достаточно доменного имени, которое похоже настолько, чтобы обмануть спешащего читателя. Агентство по кибербезопасности и защите инфраструктуры США (CISA) описывает именно эту схему: «опасные сайты могут выглядеть идентично легитимному, но URL может использовать изменение написания или другой домен (например, .com вместо .net)». CISA также рекомендует проверять, куда на самом деле ведёт ссылка, прежде чем ей доверять: «если навести курсор на любую ссылку в теле письма и текст ссылки не совпадает с тем, что появляется при наведении, ссылка может быть подменена».

Блокировка через DNS

Поскольку устройство спрашивает резолвер прежде, чем вообще сможет добраться до сайта, тот, кто контролирует этот резолвер, может незаметно не допустить, чтобы соединение вообще началось. Electronic Frontier Foundation (EFF) прямо объясняет механизм: «провайдер может настроить свой DNS-резолвер так, чтобы он давал неверный ответ или не давал ответа вовсе, когда пользователь пытается найти адрес заблокированного сайта или сервиса». Переход на резолвер, который отвечает честно, может восстановить доступ, а использование зашифрованного DNS (предыдущий урок) добавляет ещё один уровень, поскольку способно «не позволить любому участнику сети видеть (и фильтровать) ваш DNS-трафик». EFF также отмечает пределы этого подхода: «если вы используете один из популярных сервисов зашифрованного DNS, таких как 1.1.1.1 или 8.8.8.8, учитывайте, что государства способны нацелиться именно на эти узлы».

Туннелирование через DNS

DNS-трафику настолько привычно пропускают через файрволы, что его можно использовать как отдельный канал связи. MITRE ATT&CK, широко используемый каталог реальных приёмов атакующих, описывает это как туннелирование через DNS: «злоумышленники могут использовать DNS для связи с системами под своим контролем внутри сети жертвы, при этом маскируясь под обычный, ожидаемый трафик». На практике это означает, что команды или украденные данные кодируются в DNS-запросах и ответах, которые остаются незамеченными среди легитимных запросов, которые постоянно совершает каждое устройство. Это приём, встроенный в в остальном обычный, необходимый протокол, что отчасти и объясняет, почему сети трудно заблокировать его целиком.

Выбор резолвера

Не существует единственного резолвера, который был бы просто «безопасным»: каждый выбор лишь перемещает видимость куда-то ещё. Cloudflare отмечает, что его собственный публичный резолвер, 1.1.1.1, «поддерживает и DoT, и DoH», и другие публичные резолверы предлагают такие же зашифрованные варианты; какой бы вы ни выбрали, именно этот оператор становится стороной, которая видит ваши запросы, как описывал предыдущий урок о видимости. Резолвер, который также блокирует известные опасные домены, может не допустить, чтобы запрос вообще достиг подтверждённого фишингового или атакующего домена, но это фильтр, а не гарантия того, что каждый опасный домен окажется в его списке.

Ничто из этого не означает обещания, что какая-то одна настройка сделает устройство безопасным: DNS — лишь один уровень среди многих, а решительные, хорошо обеспеченные ресурсами атакующие подстраиваются под любую отдельную защиту. Тому, кто сталкивается с конкретной, серьёзной угрозой — журналисту, активисту, человеку под прицельным наблюдением, — лучше обратиться за помощью к экспертам, чем полагаться на чек-лист. Служба Access Now Digital Security Helpline предлагает бесплатную прямую техническую помощь людям и организациям, находящимся в группе риска, а Freedom of the Press Foundation поддерживает журналистов схожими рекомендациями по цифровой безопасности.