DNS-Angriffe abwehren

Tatsächlich ist das DNS eine letzte offene Flanke in vielen Unternehmen. Auch ausgefeilte Sicherheitsarchitekturen decken sie oft nur teilweise ab. Ein DNS-Schutz muss einige Bedingungen erfüllen, um möglichst umfassenden Schutz zu bieten:

Streaming-Analytics in Echtzeit ermöglichen es, DNS-Anfragen quasi live (und Zero-Day) auf Data Exfiltration und Tunneling Toolkits zu untersuchen. Die Kommunikation nach außen zu verdächtigen Destinationen wird dann automatisch blockiert, wenn ein Versuch zur Datenexfiltrierung erkannt wird. Zusätzlich lassen sich schwarze Listen von bekannten Malware-Hosts (Name- oder IP-Adresse) nutzen (RPZ - Response Policy Zone) mit Threat Intelligence Data Feeds, die bekannte DNS Tunneling Toolkits sowie Malware erkennen. Gut, wenn hier die Erkenntnisse verschiedener Hersteller und der Community in diesem Reputationsfilter zusammenlaufen. Ein zusätzlicher Plus-Punkt für professionelle Threat Intelligence ist es, wenn der Hersteller eigene Analysten beschäftigt, die den Data Feed zusammenstellen.

Maschinelles Lernen kann dabei helfen, die Präsenz von Daten in DNS-Anfragen zu erkennen. Eine Analytics Engine untersucht die host.subdomain und TXT-Anteile in DNS-Anfragen und bestimmt mittels Entropie, lexikalischer Analyse, N-Gram und zeitlichen Serien die Präsenz von Daten in den Anfragen. Oft müssen die Datenpakete in Serie analysiert werden, bis der Mechanismus lernt das Schema zu erkennen. Alle Merkmale lassen sich zu einer Bewertung auf Punktebasis addieren, die auf die Gefährlichkeit eines Datenverkehrs hinweist. Enthält die Anfrage viele Daten? Werden viele unterschiedliche Anfragen an dieselbe externe Domain gesendet? Sind die Daten verschlüsselt oder codiert wie bei einer lexikalischen Analyse?

Eines der Kennzeichen ist das Maß der Zufälligkeit in den Daten: Normale DNS-Anfragen sind sehr wenig zufällig, verschlüsselte Datenpakete hingegen sind sehr zufällig. Wenn die Anfrage Wörter in irgendeiner Sprache (N-Gram-Analyse) enthält, wird dies mit einberechnet. Dadurch ist es möglich, auch neuere Exfiltrationsmethoden, deren Signaturen noch nicht bekannt sind, auf der Basis von Verhalten und Mustern zu erkennen - sogar bevor neue Malware Domänen im Reputationsfilter zur Verfügung stehen.

Kunden wissen es auch zu schätzen, wenn keine zusätzliche Infrastruktur angeschafft werden muss, sondern das Sicherheitstool direkt in der DNS-Infrastruktur sitzt oder als Cloud-Lösung dort ansetzt. Das DNS ist damit kein Ausgangspunkt einer Gefährdung, sondern ein zusätzlicher Sicherheitsfaktor. Das hat zudem den Vorteil, dass beispielsweise die Performance einer Firewall nicht durch eine zusätzliche Aufgabe (Deep Packet Analysis von DNS) beeinträchtigt wird. Wird dort gescannt, wo die Anfrage ankommt, verkürzt sich nicht nur der Zeitraum der Erkennung, sowie die Komplexität der Umgebung - die Kosten sinken. Erkennt man zusätzlich noch, welcher Gerätetyp, welche IP- und MAC-Adresse oder welcher Anwender den Exfiltrationsversuch unternommen hat, kann ein Sicherheitsbeauftragter schnell und zielgenau eingreifen.

Wie können derartige "Entschärfungsversuche" aussehen? Es bedarf einer engen Integration zwischen Erkennung und Behebung - was wiederum eine gute Kommunikation zwischen den einzelnen Tools voraussetzt. Kommt die Information von einem Tool, dass Indikatoren für eine Kompromittierung vorliegen, kann das andere Tool die bösartigen Prozesse an der Ausführung und Verbindung hindern und einen kompromittierten Endpunkt (der sich auch außerhalb des Netzwerks befinden kann) in Quarantäne nehmen, bevor Daten exfiltriert werden. Datendiebstahl hat damit keine Hintertür mehr und das DNS ist umfassend abgesichert. (hal)