DNS sinkhole (także sinkholing) – technika bezpieczeństwa sieciowego polegająca na przekierowywaniu ruchu kierowanego do wybranych, zwykle złośliwych domen internetowych na kontrolowany serwer, tzw. serwer sinkhole, zamiast na ich rzeczywiste adresy. Służy do wykrywania i blokowania złośliwej lub niepożądanej komunikacji między komputerami a internetem, m.in. do ochrony użytkowników przed stronami phishingowymi, przejmowania kontroli nad komunikacją botnetów i identyfikowania zainfekowanych komputerów.

Działanie Serwer DNS działający jako sinkhole odpowiada na zapytania o domeny z przygotowanej listy adresem kontrolowanego serwera zamiast prawdziwego adresu. Użytkownik, który próbuje wejść na zablokowaną stronę, trafia wtedy np. na stronę z ostrzeżeniem o zagrożeniu. W sieci organizacji taki serwer uniemożliwia komputerom łączenie się ze złośliwą infrastrukturą, a zarejestrowane próby połączeń pozwalają wykryć zainfekowane urządzenia. Sinkhole można zbudować np. na serwerze BIND za pomocą statycznie skonfigurowanych stref RPZ (Response Policy Zones). Do interakcji ze złośliwym oprogramowaniem, np. symulowania komunikacji z serwerem zarządzającym, gdy program weryfikuje odpowiedzi DNS, potrzebny bywa serwer DNS z dynamiczną logiką odpowiedzi.

Sinkholing można też przeprowadzić przez przejęcie samej domeny, np. zmianę jej serwerów nazw przez rejestr domen albo zarejestrowanie domeny zapisanej w kodzie złośliwego oprogramowania. Wtedy do serwera sinkhole trafia ruch ze wszystkich zainfekowanych komputerów, niezależnie od tego, z jakiego serwera DNS korzystają. Serwer sinkhole może przy tym emulować zachowanie serwerów zarządzających botnetem (C&C), co pozwala odciąć przestępców od zainfekowanych maszyn i gromadzić dane o miejscach infekcji.

Sinkhole’e służące do wykrywania i monitorowania infekcji w sieci ENISA zalicza do honeypotów serwerowych.

Zastosowania Ochrona użytkowników W Polsce z DNS sinkholingu korzystają operatorzy telekomunikacyjni blokujący strony z Listy Ostrzeżeń przed niebezpiecznymi stronami, którą prowadzi CERT Polska. Lista powstała w marcu 2020 roku na mocy porozumienia operatorów Orange Polska, Polkomtel (sieć Plus), P4 (sieć Play) i T-Mobile Polska z Ministrem Cyfryzacji, Prezesem Urzędu Komunikacji Elektronicznej i NASK. Od 2023 roku podstawą jej działania jest ustawa o zwalczaniu nadużyć w komunikacji elektronicznej, zgodnie z którą listę prowadzi CSIRT NASK, a przedsiębiorca telekomunikacyjny będący stroną porozumienia może uniemożliwić dostęp do wpisanych na nią domenUstawa z dnia 28 lipca 2023 r. o zwalczaniu nadużyć w komunikacji elektronicznej ().

Blokada polega na podmianie rekordu A w odpowiedzi DNS na adres planszy informującej o zagrożeniu, a zablokowane domeny powinny wskazywać na serwery w domenie hole-sinkhole.cert.pl. Domeny są wpisywane na listę na sześć miesięcy, a blokowane powinny być także ich subdomeny. Lista jest udostępniana w kilku formatach, m.in. w formacie Response Policy Zones (RPZ) i w formatach dla wtyczek do przeglądarek, dzięki czemu mogą z niej korzystać także administratorzy sieci i sami użytkownicy.

Poza bezpieczeństwem sinkholing DNS stosuje się m.in. do blokowania reklam internetowych, np. w programie Pi-hole.

Przejmowanie botnetów Na przełomie stycznia i lutego 2013 roku NASK, prowadzący rejestr domeny .pl, i działający w nim CERT Polska przejęły 43 domeny służące do zarządzania botnetem Virut. Serwery nazw tych domen zmieniono na kontrolowane przez CERT Polska, dzięki czemu ruch z zainfekowanych komputerów trafiał do sinkhole’a zamiast do serwerów przestępców. Na podstawie połączeń oszacowano, że botnet liczył do około 270 tys. unikalnych adresów IP dziennie, z czego blisko połowa pochodziła z Egiptu, Pakistanu i Indii.

12 maja 2017 roku, podczas ataku ransomware’u WannaCry, badacz bezpieczeństwa Marcus Hutchins zarejestrował domenę zapisaną w kodzie złośliwego oprogramowania, kierując związany z nią ruch na sinkhole. Okazało się, że WannaCry szyfrował dane tylko wtedy, gdy domena nie istniała, więc jej rejestracja zadziałała jak wyłącznik awaryjny (tzw. kill switch). Według danych z sinkhole’a w ciągu dwóch dni zapobiegło to uruchomieniu szyfrowania na około milionie zainfekowanych komputerów, a w samym czerwcu 2019 roku – na około 60 mln prób. Wyłączenie sinkhole’a groziło wznowieniem infekcji, dlatego atakujący próbowali go unieszkodliwić atakami DDoS z użyciem botnetu Mirai.

30 listopada 2016 roku w międzynarodowej operacji organów ścigania, prowadzonej m.in. przez niemiecką prokuraturę i policję, FBI, Europol i Eurojust, rozbito sieć Avalanche, wykorzystywaną do rozpowszechniania ponad dwudziestu rodzajów złośliwego oprogramowania. W ramach operacji przejęto, zablokowano lub skierowano na sinkhole ponad 800 tys. domen, dzięki czemu ruch z zainfekowanych komputerów trafiał do serwerów kontrolowanych przez organy ścigania, a nie przez przestępców.

Domeny wykorzystywane w atakach BadWPAD

Sinkholing stosuje się także wobec domen, na które trafia ruch z błędnie skonfigurowanych komputerów. W atakach BadWPAD wykorzystuje się mechanizm automatycznego wykrywania serwera proxy (Web Proxy Auto-Discovery Protocol, WPAD). Przy błędnej konfiguracji sufiksów DNS komputer może pobrać plik konfiguracji proxy z publicznej domeny, np. wpad.pl, co pozwala właścicielowi tej domeny przekierować ruch HTTP użytkownika. Od 2007 roku 63 takie domeny w strefie .pl i w innych domenach najwyższego poziomu utrzymywała prywatna firma, której serwer w latach 2015–2016 udostępniał plik konfiguracji przekierowujący linki z programów partnerskich. W maju 2019 roku firma dobrowolnie przekazała NASK domeny wpad.*.pl, a pozostałe domeny z tej grupy w strefie .pl zarejestrowano na rzecz NASK. CERT Polska skierował je na sinkhole, który w ciągu tygodnia zarejestrował 6,5 mln żądań HTTP z około 40 tys. unikalnych adresów IP. Informacje o tych połączeniach są udostępniane administratorom sieci przez platformę n6. Domeny wpad w innych domenach krajowych przekazywano właściwym dla nich zespołom CERT, które podjęły podobne działania.

Ograniczenia Twórcy złośliwego oprogramowania utrudniają sinkholing. Nowsze odmiany Viruta, w razie utraty łączności z zapisanymi na stałe serwerami zarządzającymi, generowały codziennie algorytmicznie (DGA) po 100 nowych nazw domen w domenie .com i akceptowały tylko te serwery, które potrafiły się uwierzytelnić podpisem cyfrowym. Zapytania o nieistniejące domeny mogą świadczyć o złośliwym oprogramowaniu, które po unieszkodliwieniu dotychczasowej domeny serwera zarządzającego generuje kolejne adresy algorytmem DGA. Atakujący znający ten algorytm może zarejestrować takie domeny nawet długo po infekcji, co przemawia za kierowaniem ich na sinkhole. Po uruchomieniu wyłącznika WannaCry atakujący szybko rozpowszechnili odmiany z nowymi domenami, które badacze również kierowali na sinkhole’e.

Zobacz też botnet honeypot zatruwanie DNS

Przypisy

Kategoria:Bezpieczeństwo sieciowe