Ohne DNS kein Internet DNS-Water-Torture-Angriffe nehmen zu

Anbieter zum Thema

Netscout, Kastor & Pollux

Cohesity GmbH

Pathlock Deutschland GmbH

Arctic Wolf Networks Germany GmbH

Das Domain Name System (DNS) gerät zunehmend ins Visier von Cyberangreifern. Die meisten Angriffe auf DNS-Server bestehen aus einer Flut von DNS-Anfragen, die darauf abzielen, die Server zu überlasten. Bei einem Angriff ist das gesamte Unternehmen unerreichbar. Trotzdem werden DNS-Server oft noch nicht in die DDoS-Abwehrpläne von Unternehmen einbezogen.

Das Domain Name System (DNS) gerät zunehmend ins Visier von Cyberangreifern. DNS ist das Adressbuch des Internets, das Namen in IP-Adressen umwandelt, damit Geräte, Anwendungen und Dienste wissen, wohin sie Pakete senden sollen. DNS-Water-Torture-Angriffe stiegen laut NETSCOUT von durchschnittlich 144 täglichen Angriffen Anfang 2023 auf 611 Ende Juni, was einen Anstieg von fast 353 Prozent in nur sechs Monaten bedeutet. Der Angriff mit der größten Auswirkung betraf ~89,4 Millionen Abfragen pro Sekunde (mqps), was einen Anstieg der Angriffswirkung um 51,1 Prozent gegenüber dem gleichen Zeitraum im Jahr 2022 bedeutet.

Seit 1997 starten Cyberkriminelle Angriffe auf DNS-Server, um Anwendungen und Geräte zu stören. Wenn die Namen von Websites, ganz gleich um welchen Diensteanbieter es sich handelt, nicht aufgelöst werden können, hat das die gleiche Wirkung wie ein erfolgreicher Angriff auf den Dienst selbst. Dies gilt auch für wichtige Komponenten eines Unternehmens wie Webserver, Kollaborationsdienste oder VPN-Konzentratoren. Wenn die maßgeblichen DNS-Server eines Unternehmens mittels hoch entwickelter DDoS-Angriffe überlastet werden, ist das gesamte Unternehmen praktisch unerreichbar. Trotzdem werden DNS-Server oft noch nicht in die DDoS-Abwehrpläne von Unternehmen einbezogen.

DNS Query Flood vs. DNS Water Torture

Die meisten Angriffe auf DNS-Server bestehen aus einer Flut von DNS-Anfragen, die darauf abzielen, die Server zu überlasten, damit sie keine Namensauflösungsdienste für legitime Benutzer bereitstellen können. Diese DNS-Query-Flood-Angriffe können potenziell auf jede Art von DNS-Eintrag in der angegriffenen Domäne abzielen. Die effektivsten Angriffe beinhalten hohe Raten von Queries pro Sekunde (qps) für nicht existierende DNS-Einträge. Sie beanspruchen nicht nur direkt die Kapazität der angegriffenen DNS-Server zur Beantwortung legitimer Anfragen, sie veranlassen auch die angegriffenen DNS-Server dazu, negative Antworten zu generieren (im Falle von autoritativen DNS-Servern) oder weiterzuleiten (im Falle von rekursiven DNS-Servern). Dadurch wird die Belastung von DNS-Servern, die DNS-Query-Flooding-DDoS-Angriffen ausgesetzt sind, erheblich erhöht.

Seit 2009 wurde zunehmend eine besonders effektive Methode zur Erzeugung von DNS-Query-Flood-DDoS-Angriffen beobachtet: DNS-Water-Torture-Angriffe. Dabei werden pseudozufällig generierte DNS-Bezeichnungen entweder bestehenden DNS-Einträgen vorangestellt oder durch eine Bezeichnung in einem DNS-Eintrag ersetzt. Wörterbuchgesteuerte Label-Substitutionsangriffe, die sich auf Wörterbücher mit plausibel erscheinenden, aber letztlich nicht existierenden DNS-Labels stützen, sind zwar weniger verbreitet, können aber für unvorbereitete Unternehmen eine noch größere Herausforderung darstellen.

Am häufigsten angegriffene Branchen im Überblick

Die Branchen Wired und Wireless Breitbandaccess, ISP/Cloud/VPS/Hosting/Colocation sowie Versicherungen waren in den ersten sechs Monaten des Jahres 2023 besonders stark von DNS-Water-Torture-Angriffen betroffen:

• Wired Telekommunikationsanbieter (Carriers)

• Wireless Telekommunikationsanbieter (außer Satellit)

• Data-Processing Hosting und verwandte Services

• E-Commerce und Retail

• Versicherungen und Finanzbroker

Schlimmer noch, die zunehmende Verbreitung von bekannten offenen DNS-Rekursivdienste als Quellen für diese Angriffe ist besorgniserregend und deutet darauf hin, dass Angreifer absichtlich versuchen den Datenverkehr an den Netzwerkbetreibern zu umgehen, die für die Sicherung der DNS-Ressourcen verantwortlich sind. Dies verdeutlicht, dass die Angreifer nicht nur hoch qualifiziert und raffiniert agieren, sondern dass DNS-Water-Torture-Angriffe, die über diese Dienste abgewickelt werden, für Verteidiger schwieriger abzuwehren sind, da sich der Angriffsverkehr mit echten DNS-Anfragen aus legitimen Quellen vermischt.

Es ist daher zwingend erforderlich, dass Unternehmen sicherstellen, dass ihre autoritative und rekursive DNS-Infrastruktur in die DDoS-Abwehrpläne einbezogen und regelmäßig überprüft wird.

Über den Autor: Karl Heuser ist beim Service- und Security Assurance Anbieter NETSCOUT als Business Manager Security für Enterprise Kunden in der Region Deutschland, Österreich und Schweiz für IT-Security Projekte-, und Themen verantwortlich. Er ist ein erfahrener IT-Experte und blickt auf eine über 30-jährige nachgewiesener Erfahrung und Expertise in den Bereichen IT-Security, IT-Infrastruktur und Cloud Services zurück.

(ID:49834745)