Künstliche Intelligenz
DNS-Sicherheit: Häufige Angriffstypen und wie man sie abwehrt
Ohne das Domain Name System findet auch der schlaueste Browser nicht zum Server, der etwa den Inhalt der c’t-Webseite ausliefert. So essenziell der DNS-Dienst fürs Internet ist, hat er doch Schwächen, an denen Angreifer ansetzen können. Im Folgenden schildern wir, wie Malware solche Stellen ausnutzt und wie man das eigene Netz dagegen härtet.
Bevor es bei Angriffsflächen und Abwehrmaßnahmen ans Eingemachte geht, hilft ein Rückblick auf die grundlegende Funktion des DNS. Ein normaler Ablauf auf Ihrem Smartphone, Notebook oder Smart TV sieht üblicherweise so aus: Sie geben im Browser einen Hostnamen wie www.ct.de ein, woraufhin der Browser die DNS-Anfrage für www.ct.de an den Stub Resolver des Betriebssystems schickt.
- Klassisches DNS, das Servernamen zu IP-Adressen übersetzt, ist ein sicherheitstechnisches Sieb.
- So hat Malware leichtes Spiel, mit Steuerservern zu korrespondieren und erbeutete Daten unbemerkt auszuschleusen.
- Simpel umsetzbare Methoden stopfen viele Löcher.
Der leitet die Anfrage schlicht an den konfigurierten DNS-Resolver – auch rekursiver DNS-Server genannt – weiter, der die eigentliche Arbeit erledigt: Er geht den DNS-Baum durch und fragt dabei alle notwendigen autoritativen DNS-Server ab. Auf denen liegen die Zonendateien der Domains. Hat der DNS-Resolver alles beisammen, reicht er die Antwort zurück in Richtung Browser.
Das war die Leseprobe unseres heise-Plus-Artikels „DNS-Sicherheit: Häufige Angriffstypen und wie man sie abwehrt“.
Mit einem heise-Plus-Abo können Sie den ganzen Artikel lesen.