स्थिति: DNS प्रश्नों के अवरोधन के साथ हमलों की एक नई लहर - हम सुरक्षा के बुनियादी तरीकों का विश्लेषण करते हैं

सूचना सुरक्षा विशेषज्ञों ने निजी और सरकारी कंपनियों की वेबसाइटों पर डीएनएस अपहरण के हमलों में वृद्धि दर्ज की। हम आपको बताते हैं कि किसको चोट लगी और कैसे खुद को बचाएं।


/ फ़्लिकर / एफ डेलवेंटल / सीसी बाय / फोटो बदल गया

क्या हुआ?

फायरईईई सुरक्षा संगठन ने पिछले महीने एक रिपोर्ट जारी की जिसमें निजी कंपनियों और सरकारी संगठनों पर बड़े पैमाने पर हमले हुए। हमलावरों ने DNS अवरोधन तकनीक, या DNS अपहरण का उपयोग किया। उन्होंने पीड़ित के कंप्यूटर पर टीसीपी / आईपी कॉन्फ़िगरेशन को ओवरलैप किया और सभी अनुरोधों को एक नकली डीएनएस सर्वर में स्थानांतरित कर दिया। इसने उन्हें उपयोगकर्ता ट्रैफ़िक को अपने स्वयं के वेब सर्वरों पर निर्देशित करने और व्यक्तिगत डेटा चोरी करने के लिए उपयोग करने की अनुमति दी।

FireEye के अनुसार, ऐसे हमलों की संख्या में वृद्धि जनवरी 2017 में बढ़ने लगी। हैकर्स यूरोप, उत्तरी अमेरिका, मध्य पूर्व और उत्तरी अफ्रीका से डोमेन को लक्षित करते हैं। मध्य पूर्व के देशों की अमेरिकी संघीय एजेंसियों और वेबसाइटों की कम से कम छह डोमेन प्रभावित हुए थे।

पटाखे किन विधियों का उपयोग करते हैं?

FireEye विशेषज्ञों ने अपनी रिपोर्ट में हमलावरों द्वारा उपयोग की जाने वाली तीन DNS स्पूफिंग योजनाओं पर ध्यान दिया है। उनमें से पहला सिस्को सूचना सुरक्षा प्रभाग के कर्मचारियों द्वारा वर्णित किया गया था - तालोस। हमलावरों ने DNS प्रदाताओं की प्रणालियों को क्रैक किया (यह अभी तक निश्चित नहीं है कि कैसे जाना जाता है), और फिर वास्तविक डोमेन को आईपी हैकर्स के साथ जोड़ते हुए DNS ए रिकॉर्ड को बदल दिया ।

नतीजतन, पीड़ित दिखने में मूल के समान एक साइट पर समाप्त हो गए। अधिकतम समानता प्राप्त करने के लिए, आइए एक नकली साइट के लिए क्रिप्टोग्राफिक प्रमाणपत्र भी बनाएं। उसी समय, एक नकली संसाधन के अनुरोध को मूल पर पुनर्निर्देशित किया गया था। नकली पेज ने वास्तविक उत्तर दिए, और स्पूफिंग को केवल एक लंबे पृष्ठ लोड द्वारा देखा जा सकता था।

इस हमले की योजना का उपयोग यूएई सरकार, लेबनानी वित्त मंत्रालय और मध्य पूर्व एयरलाइंस की साइटों को हैक करने के लिए किया गया था। हैकर्स ने सभी ट्रैफ़िक को इंटरसेप्ट किया और इसे IP एड्रेस 185.20.187.8 पर रीडायरेक्ट किया। टैलो के अनुसार, हमलावरों ने वीपीएन सेवाओं तक पहुंचने के लिए संगठनों और कर्मचारियों के मेलबॉक्सों से पासवर्ड चुराए हैं।

घुसपैठियों की दूसरी योजना एनएस डोमेन रिकॉर्ड के डीएनएस एड्रेस रजिस्टर में बदलाव से जुड़ी है। वह एक विशिष्ट डोमेन के एक पृष्ठ के लिए जिम्मेदार नहीं है (उदाहरण के लिए: mail.victim.com), लेकिन x.victim.com फॉर्म के सभी लिंक के लिए। अन्यथा, विधि पहले के समान है: पटाखे ने मूल साइट की एक प्रति बनाई और उपयोगकर्ताओं को उस पर पुनर्निर्देशित किया, जिसके बाद वे डेटा को चुराते हैं।

तीसरी विधि अक्सर पहले दो के साथ संयोजन में उपयोग की जाती थी। वेबसाइट आगंतुकों को तुरंत एक नकली पृष्ठ पर नहीं भेजा गया था। सबसे पहले, उन्होंने एक अतिरिक्त सेवा - डीएनएस रीडायरेक्टर पर स्विच किया। यह मान्यता है कि उपयोगकर्ता DNS क्वेरी कहां से भेज रहा था। यदि आगंतुक पीड़ित कंपनी के नेटवर्क से पृष्ठ पर जाता है, तो उसे साइट की एक नकली प्रति पर पुनर्निर्देशित किया गया था। पुनर्निर्देशक ने अन्य उपयोगकर्ताओं को वास्तविक आईपी पता लौटा दिया, और व्यक्ति मूल संसाधन को मिला।

हमलों के बारे में वे क्या सोचते हैं

विशेषज्ञ अभी भी हैकिंग से होने वाले नुकसान का आकलन नहीं कर सकते हैं , क्योंकि रिपोर्ट के प्रकाशन के बाद भी नए हैकर पीड़ित बन जाते हैं। इसलिए, यहां तक ​​कि यूएस डिपार्टमेंट ऑफ होमलैंड सिक्योरिटी (डीएचएस) ने भी समस्या की ओर ध्यान आकर्षित किया। संगठन के विशेषज्ञों ने एक निर्देश प्रकाशित किया जिसमें उन्होंने अन्य संघीय एजेंसियों के लिए अनिवार्य आवश्यकताओं की एक सूची तैयार की। उदाहरण के लिए, DHS को सरकारी विभागों के लिए व्यवस्थापक खातों के लिए पासवर्ड अपडेट करने, DNS खातों में बहु-कारक प्रमाणीकरण सक्षम करने और सभी DNS रिकॉर्ड सत्यापित करने की आवश्यकता होती है।


/ विकिमीडिया / एएनआईएल कुमार कुमार / सीसी बाय-एसए

सभी एजेंसियों को दस कार्य दिवसों के भीतर निर्देश से सिफारिशें लागू करनी चाहिए। साइबरस्कोप प्रकाशन के अनुसार, मंत्रालय के दस्तावेजों में ऐसा शब्द काफी दुर्लभ है। यह निर्देश के "आपातकालीन" स्थिति को इंगित करता है।

डीएनएस सर्वर प्रदाताओं के प्रतिनिधियों द्वारा हैक की एक उल्लेखनीय श्रृंखला को भी बुलाया गया था। एनएस 1 डीएनएस होस्टिंग के सीईओ क्रिस बीवर्स के अनुसार, हालिया हमलों से सबसे महत्वपूर्ण निष्कर्ष यह है कि संगठन बुनियादी सुरक्षा सुविधाओं का उपयोग नहीं करते हैं। इसके मूल में, हमले काफी सरल हैं, और उनमें से कई को रोका जा सकता था।

खुद की सुरक्षा कैसे करें

अपनी रिपोर्ट में, FireEye विशेषज्ञ कई सुरक्षा तरीके प्रदान करते हैं जो संगठनों को DNS अपहरण के हमलों को रोकने में मदद करते हैं:

बहु-कारक प्रमाणीकरण (MFA) सक्षम करें। यह उन आवश्यकताओं में से एक है जो अमेरिकी डिपार्टमेंट ऑफ होमलैंड सिक्योरिटी ने सरकारी विभागों के लिए बनाई थी। मल्टी-फैक्टर ऑथेंटिकेशन हमलावरों के लिए कार्य को जटिल बनाता है ताकि वे नियंत्रण कक्ष से DNS सेटिंग्स से जुड़ सकें।

उदाहरण के लिए, 2FA साइबर अपराधियों को पिछले साल दिसंबर की शुरुआत में Linux.org को खराब करने से रोक सकता है। सौभाग्य से, हमले केवल डीएनएस में दूसरे सर्वर पर स्विच करने के साथ बर्बरता तक सीमित थे ।

IaaS प्रदाता 1cloud.ru के विकास विभाग के प्रमुख सर्गेई बेलकिन ने टिप्पणी की, "टू-फैक्टर ऑथेंटिकेशन एक साधारण सुरक्षा उपाय है, जो DNS सर्वर की प्रतिक्रिया को खराब करके हमलों से बचाने में मदद करेगा।" - क्लाउड प्रदाता सुरक्षा के साथ मदद कर सकते हैं। विशेष रूप से, हमारे मुफ़्त DNS होस्टिंग के उपयोगकर्ता तैयार निर्देशों का उपयोग करके जल्दी से 2FA कनेक्ट कर सकते हैं। इसके अतिरिक्त, ग्राहक यह सुनिश्चित करने के लिए कि वे विश्वसनीय हैं, DNS रिकॉर्ड में सभी परिवर्तनों को अपने प्रोफ़ाइल में ट्रैक कर सकते हैं। ”

प्रमाणपत्र लॉग की जाँच करें। सूचना सुरक्षा विशेषज्ञ प्रशासकों को सर्टिफिकेट ट्रांसपेरेंसी टूल का उपयोग करके प्रमाणपत्रों की दोबारा जांच करने की सलाह देते हैं। यह एक IETF मानक और एक ओपन सोर्स प्रोजेक्ट है जो एक विशिष्ट डोमेन के लिए जारी किए गए सभी प्रमाणपत्रों के बारे में जानकारी संग्रहीत करता है।

यदि यह पता चला कि उनमें से कुछ को गलत ठहराया गया था, तो आप प्रमाण पत्र के बारे में शिकायत कर सकते हैं और इसे रद्द कर सकते हैं। SSLMate जैसे विशेष उपकरण आपको सर्टिफिकेट ट्रांसपेरेंसी लॉग में परिवर्तन को ट्रैक करने में मदद करेंगे।

DNS-over-TLS पर स्विच करें। DNS अवरोधन के साथ हमलों को रोकने के लिए, कुछ कंपनियां DNS-over-TLS (DoT) का भी उपयोग करती हैं। यह DNS सर्वर के लिए उपयोगकर्ता के अनुरोधों को एन्क्रिप्ट और चेक करता है और हमलावरों को डेटा को खराब करने की अनुमति नहीं देता है। उदाहरण के लिए, हाल ही में Google सार्वजनिक DNS में प्रोटोकॉल समर्थन लागू किया गया था।

संभावनाओं

DNS अवरोधन के साथ हमले अधिक से अधिक होते जा रहे हैं, और हैकर्स हमेशा उपयोगकर्ता डेटा में रुचि नहीं रखते हैं। हाल ही में, दर्जनों हैक किए गए डोमेन, जिनमें मोज़िला और येल्प के लोग शामिल थे, का उपयोग धोखाधड़ी वाले ईमेल भेजने के लिए किया गया था। इस मामले में, हैकर्स ने एक अलग हमले की योजना का उपयोग किया - उन्होंने उन डोमेन का नियंत्रण लिया जिन्हें कंपनियों ने उपयोग करना बंद कर दिया था, लेकिन प्रदाता के डीएनएस रिकॉर्ड से नहीं हटाया।

ज्यादातर मामलों में, हैक उन कंपनियों के लिए जिम्मेदार होते हैं जिन्होंने समय पर सुरक्षा मुद्दों का ध्यान नहीं रखा। क्लाउड प्रदाता इस समस्या से निपटने में मदद कर सकते हैं।

अक्सर, कंपनी सिस्टम के विपरीत, वेंडर DNS सर्वर वैकल्पिक DNSSEC प्रोटोकॉल द्वारा सुरक्षित होते हैं । यह एक डिजिटल हस्ताक्षर के साथ सभी DNS रिकॉर्ड की सुरक्षा करता है, जिसे केवल एक गुप्त कुंजी का उपयोग करके बनाया जा सकता है। हैकर्स इस तरह के सिस्टम में मनमाना डेटा दर्ज नहीं कर सकते हैं, इसलिए सर्वर से प्रतिक्रिया को प्रतिस्थापित करना अधिक कठिन हो जाता है।

कॉर्पोरेट ब्लॉग से हमारी पोस्ट:

• फ़ाइल बैकअप: डेटा हानि से सुरक्षित कैसे रहें
• 1Coud डेवलपर के लिए जीवन को कैसे आसान बनाता है। ग्राहक साक्षात्कार
• जहाँ ऑब्जेक्ट स्टोर उपयोगी होते हैं