Das DNS verknüpft einen lesbaren Domainnamen mit einer IP-Adresse, die von Netzwerkgeräten genutzt werden kann. Die TCP-Ports bestimmen, welche Dienste eine eingehende Verbindung akzeptieren oder ablehnen. Diese beiden Mechanismen, die oft einmal konfiguriert und dann vergessen werden, stellen jedoch bevorzugte Angriffsvektoren dar, wenn sie schlecht verwaltet werden.
DNS-Auflösung und Angriffsfläche: Was die Verschlüsselung verändert
Standardmäßig werden DNS-Anfragen im Klartext über den UDP-Port 53 übertragen. Ein Angreifer, der sich im Netzwerk befindet, kann diese Anfragen abfangen, sie modifizieren oder den Datenverkehr zu einem bösartigen Server umleiten. Die klassische DNS-Filterung basiert genau auf dieser Sichtbarkeit: Der Administrator überprüft die Anfragen, um gefährliche Domains zu blockieren.
Die Einführung von DNS über HTTPS (DoH) verändert dieses Gleichgewicht. DoH kapselt die DNS-Anfragen in standardmäßigen HTTPS-Datenverkehr auf dem TCP-Port 443. Der Inhalt der Anfragen wird für Netzwerküberwachungstools unsichtbar. Ein Arbeitsplatz, der so konfiguriert ist, dass er einen externen DoH-Resolver verwendet, kann somit die gesamte Unternehmens-DNS-Filterung umgehen, ohne eine Warnung auszulösen.
Die Lösung besteht nicht darin, DoH blind zu blockieren. Der empfohlene Ansatz ist, einen internen, DoH- oder DoT-kompatiblen DNS-Resolver (DNS über TLS, Port 853) festzulegen und dessen Nutzung auf den Arbeitsplätzen über Gruppenrichtlinien oder ein MDM zu erzwingen.
Anfragen an nicht genehmigte externe Resolver werden dann auf der Firewall blockiert. Diese Konfiguration schützt die Vertraulichkeit der DNS-Austausche und erhält gleichzeitig die Filterfähigkeit, wie im Sicherheitsleitfaden von Open Syd im Abschnitt über die Härtung von Netzwerkrichtlinien detailliert beschrieben.
Offene TCP-Ports: Die exponierte Fläche des Netzwerks reduzieren
Jeder offene TCP-Port auf einem Server stellt einen potenziellen Einstiegspunkt dar. Ein Dienst, der auf einem ungenutzten oder nicht überwachten Port lauscht, bietet einem Angreifer eine direkte Gelegenheit, eine Verbindung zu versuchen, eine Schwachstelle auszunutzen oder einen Kommando-Kanal einzurichten.
Die tatsächlich benötigten Ports identifizieren
Der erste Schritt ist eine Bestandsaufnahme. Zu viele Umgebungen behalten offene Ports aus alten Konfigurationen: Testdienste, temporäre Administrationsschnittstellen, veraltete Protokolle. Ein regelmäßiger Scan der exponierten Ports von außerhalb des Netzwerks offenbart oft Dienste, deren Existenz niemand vermutete.
Die Ports, die vorrangig überwacht werden sollten:
- Der Port 53 (DNS) sollte auf die autorisierten internen DNS-Server beschränkt werden, und der ausgehende DNS-Verkehr zu nicht genehmigten externen Resolvern sollte an der Firewall blockiert werden.
- Der Port 443 (HTTPS) verdient besondere Aufmerksamkeit, da DoH darüber läuft, was die Exfiltration von Daten oder das Umgehen von Sicherheitsrichtlinien ermöglicht.
- Die Ports für den Remote-Zugriff (22 für SSH, 3389 für RDP) sollten niemals direkt im Internet ohne eine Zwischen-Gateway oder VPN exponiert werden.
- Die Ports, die mit Legacy-Diensten verbunden sind (Telnet auf Port 23, FTP auf Port 21), sollten zugunsten ihrer verschlüsselten Äquivalente deaktiviert werden.
Das Prinzip der minimalen Berechtigung auf Netzwerkströme anwenden
Jede Firewall-Regel sollte eine Quelle, ein Ziel und einen spezifischen Port angeben. Die Regeln “any to any” für einen bestimmten Port bedeuten, dass man eine Tür für jeden offen lässt, der die Adresse kennt. Die Netzwerksegmentierung ergänzt diesen Ansatz: Das Platzieren der DNS-Server in einem eigenen Segment begrenzt die seitliche Ausbreitung im Falle einer Kompromittierung.
DNSSEC und Schutz des DNS-Kontos: Zwei komplementäre Schichten
DNSSEC signiert die DNS-Antworten kryptografisch, um sicherzustellen, dass die vom Client empfangene Information tatsächlich der vom legitimen Server veröffentlichten entspricht. Ohne diese Validierung kann ein Angreifer falsche Antworten injizieren (Cache-Vergiftung) und den Datenverkehr zu bösartigen Servern umleiten, ohne dass der Benutzer etwas bemerkt.
Die Implementierung von DNSSEC bleibt sowohl ein operationelles als auch ein kryptografisches Thema. Konfigurationsfehler, insbesondere bei der Rotation der Signaturschlüssel, können zu Dienstunterbrechungen führen. Die Aktivierung erfordert daher vorherige Tests und ein dokumentiertes Rollback-Verfahren.
Ein oft vernachlässigter Aspekt betrifft den Schutz des Kontos, das die DNS-Einträge verwaltet. Die Kontrolle über dieses Konto zu übernehmen, ermöglicht es, die DNS-Antworten direkt zu ändern, den Datenverkehr umzuleiten oder betrügerische TLS-Zertifikate zu generieren. Die US-amerikanische Behörde CISA empfiehlt, diese Zugänge durch Multi-Faktor-Authentifizierung zu schützen, die veröffentlichten Einträge regelmäßig zu auditieren und die Protokolle zur Zertifikatstransparenz zu überwachen, um nicht autorisierte Zertifikatsausstellungen zu erkennen.
NIS2-Richtlinie und Risikomanagement für DNS in Europa
Die europäische NIS2-Richtlinie erweitert den Anwendungsbereich der Entitäten, die Cyber-Sicherheitsanforderungen unterliegen. DNS-Dienstleister sind ausdrücklich unter den betroffenen Entitäten aufgeführt. Die Durchführungsverordnung der Europäischen Union 2024/2690 präzisiert die erwarteten technischen Anforderungen, insbesondere im Bereich des Cyber-Risikomanagements.
Für Organisationen, die ihre eigene DNS-Infrastruktur betreiben, bedeutet diese regulatorische Entwicklung, mehrere Praktiken zu formalisieren:
- Die Richtlinie zur Verwaltung von DNS-Zonen zu dokumentieren, einschließlich der Zonenübertragungen und Replikationsmechanismen.
- Eine Protokollierung von Änderungen an Einträgen und Zugängen zu den DNS-Servern einzurichten.
- Die DNS-Komponenten in den Anwendungsbereich der regelmäßigen Sicherheitsprüfungen zu integrieren.
Diese Anforderungen sind technisch nicht neu. NIS2 macht sie rechtlich verbindlich, mit Sanktionen im Falle von Nichteinhaltung.
Die gemeinsame Kontrolle von DNS und TCP-Ports bildet eine Grundlage für die Netzwerksicherheit, die weder von Anwendungsfirewalls noch von Antivirenprogrammen ersetzt werden kann. Ein korrekt konfigurierter DNS-Resolver und streng gefilterte Ports reduzieren die Angriffsfläche, noch bevor ein Erkennungstool zum Einsatz kommt.
