Назначение протокола DNS: от адресной книги интернета до рубежа кибербезопасности

По данным Solar 4RAYS, 89% киберугроз задействуют DNS-протокол на том или ином этапе атаки. Рассказываем, как устроен и работает DNS-протокол, почему его назначение вышло далеко за рамки простого преобразования адресов и как ИБ-службы используют защиту DNS-трафика как базовую ступень безопасности.

Основное назначение протокола DNS

Domain Name SystemDNS (Domain Name System) — распределенная система именования, преобразующая доменные имена в IP-адреса. Обрабатывает каждый сетевой запрос к именованному ресурсу в интернете и корпоративных сетях., или DNS, — это распределенная система, которая преобразует доменные имена в IP-адреса. Когда вы вводите в браузере адрес сайта, компьютер не знает, где он физически находится: он знает только имя. Сетевой протокол DNS переводит это имя в числовой адрес сервера, с которым нужно установить соединение.

Принцип работы DNS принято объяснять через аналогию с телефонной книгой: вы помните имя, а не номер. Но эта метафора не передает масштаб: DNS обслуживает каждый сеанс связи в интернете — от открытия страницы до синхронизации корпоративных систем. Без DNS-протокола работа с любым именованным ресурсом потребовала бы ручного ввода IP-адреса.

Современное назначение протокола DNS намного шире простого преобразования имен. Протокол используется для маршрутизации почты (MX-записи), верификации отправителей (TXT/SPF/DKIM), балансировки нагрузки между серверами, проверки доступности сервисов и даже передачи произвольных данных. DNS стал универсальным слоем, на котором держится вся инфраструктура интернета.

Как работает DNS-протокол

Когда вы вводите адрес сайта, браузер не знает, где физически находится этот сервер. Он знает только имя — и отправляет запрос к DNS-серверу: «Переведи это имя в адрес». DNS-сервер находит нужный IP и возвращает ответ браузеру. Соединение устанавливается, страница открывается. Все это происходит незаметно — быстрее, чем вы успеваете заметить задержку.

На транспортном уровне DNS работает через порт 53 — он открыт практически в любой корпоративной и публичной сети. Закрыть его невозможно: без DNS перестают работать почта, браузер, корпоративные приложения — вообще все, что обращается к именованным ресурсам. Именно эта «неприкосновенность» порта DNS-протокола делает его удобным каналом для атак: злоумышленники знают, что этот трафик не заблокируют. Современные варианты — DNS over HTTPS (DoH) и DNS over TLS (DoT) — добавляют шифрование, чтобы скрыть содержимое запросов от наблюдателя. Но принцип работы сетевого протокола DNS остается тем же: запрос — ответ — соединение.

Ключевые функции DNS-протокола

Сетевой протокол DNS решает несколько разных задач одновременно — и именно поэтому его функции выходят далеко за рамки простого преобразования имен. За каждой из этих задач стоит свой механизм внутри протокола, но для бизнеса важнее конечный результат: что именно DNS делает для инфраструктуры компании. Вот основные направления, где DNS работает уже сегодня.

• Адресация переводит доменное имя в IP-адрес сервера, чтобы браузер или приложение могли установить соединение.
• Маршрутизация почты определяет, на какой сервер должно прийти письмо, отправленное на адрес в этом домене.
• Подтверждение отправителя помогает получателю убедиться, что письмо действительно пришло с легитимного домена и не было подделано.
• Балансировка и CDN позволяют одному доменному имени указывать на несколько серверов или ближайшую к пользователю точку доставки контента.

Почему DNS стал критическим протоколом для бизнеса

Инфраструктура современной компании держится на десятках сервисов: корпоративная почта, облачные платформы, системы аутентификации, CRM, ERP. Каждый из них использует сетевой протокол DNS при каждом обращении в интернет — недоступность DNS отключает всю инфраструктуру разом. Назначение протокола DNS для бизнеса давно вышло за рамки технической функции: сегодня злоумышленники используют DNS-трафик для управления зараженными устройствами, скрытой передачи данных и перехвата трафика. При этом безопасность DNS долгое время оставалась на периферии корпоративных ИБ-стратегий — и именно это сделало DNS-канал привлекательным для атакующих.

Атака обычно выглядит так: вредонос попадает на устройство, а затем обращается по DNS к серверу управления, чтобы получить команды. Если DNS-трафик под наблюдением, этот запрос виден сразу — до того, как вредонос успеет закрепиться или передать данные наружу.

Эксперты Solar DNS RADAR

Уязвимости DNS-протокола: обратная сторона назначения

Архитектура DNS формировалась в 1980-х годах, когда интернет был сетью доверенных участников. Протокол изначально не предусматривал аутентификации ответов: сетевой протокол DNS принимал данные от любого сервера, который отвечал первым. Это заложило структурные уязвимости, которые эксплуатируются до сих пор. Подробнее о природе DNS-трафика и его особенностях — в материалах блога Solar MSS. Основные типы уязвимостей DNS-протокола:

• Отсутствие встроенной аутентификации — классический транспортный протокол DNS не проверяет подлинность ответа. Злоумышленник может подменить ответ резолвера, направив пользователя на вредоносный сервер (атака DNS Cache Poisoning).
• Открытый UDP-канал — порт DNS-протокола 53 открыт практически в любой сети. Это делает его удобным путем для передачи данных в обход межсетевых экранов.
• Отсутствие шифрования в базовом стеке — классический DNS-протокол передает запросы в открытом виде. Провайдер, оператор корпоративной сети или злоумышленник в позиции Man-in-the-Middle видит полный список запрашиваемых доменов.
• DGA-домены и туннелирование — вредоносное ПО генерирует псевдослучайные домены для связи с C2-серверомC2-сервер (Command & Control) — управляющий сервер, через который злоумышленник координирует действия вредоносного ПО. DNS-протокол часто используется для связи с C2 из-за сложности блокировки DNS-трафика., а открытый DNS-канал позволяет прятать похищенные данные внутри обычных запросов.

Как злоумышленники используют назначение DNS против бизнеса

Злоумышленники редко атакуют DNS-серверы напрямую — чаще используют их как канал для реализации угрозы в другой части инфраструктуры. Типичные сценарии:

• DNS Tunneling (DNS-туннелирование) — передача произвольных данных внутри DNS-запросов и ответов. Вредоносное ПО использует этот метод для отправки похищенных данных наружу или получения команд от C2-сервера, обходя контроль трафика. Объем DNS-запроса мал, а блокировать весь DNS-трафик невозможно — это и делает туннель удобным.
• DNS Hijacking — подмена DNS-ответов с целью перенаправления пользователей на фишинговые сайты или фальшивые страницы авторизации. Атака может выполняться через компрометацию резолвера, маршрутизатора или регистратора домена.
• Атаки на авторитативные серверы и Fast Flux — DDoS против DNS-инфраструктуры мгновенно делает все ресурсы компании недоступными; Fast Flux меняет IP-адреса вредоносного домена с высокой частотой, срывая блокировку по IP.

Эволюция назначения DNS: от простого преобразования к безопасности

С 1987 года, когда был принят базовый стандарт DNS-протокола, назначение протокола DNS расширилось далеко за рамки простого перевода адресов. Сначала протокол научили защищать целостность ответов — так появился DNSSECDNSSEC — расширение DNS-протокола, добавляющее криптографическую подпись к записям. Защищает от подмены ответов, но не шифрует содержимое DNS-запросов — трафик остается виден для наблюдателя.. Затем — скрывать содержимое запросов от посторонних: для этого используют шифрование DoT и DoH.

Поверх этих механизмов выросли два прикладных подхода. Threat Intelligence в DNS блокирует запросы к известным вредоносным доменам по репутационным базам еще на уровне резолвера. Поведенческий анализ трафика выявляет аномалии по энтропии имен, частоте и длине поддоменов, характерных для DGA и туннелирования. Вместе они формируют DNS-фильтр — механизм, который перехватывает угрозу до установления соединения и предотвращает инцидент, вместо того чтобы разбирать его последствия постфактум.

Тестовый пилот Solar DNS RADAR разворачивается за один рабочий день и не требует изменений в существующей инфраструктуре — это стандартный первый шаг для компаний, которые хотят увидеть, что происходит в их DNS-трафике, прежде чем принимать решение о полноценном внедрении.

Принимаем подачу: запустите пилот Solar DNS RADAR

89% кибератак задействуют DNS-канал. Проверьте, что происходит в DNS-трафике вашей сети прямо сейчас — подключитесь к тестовому доступу и получите отчет об угрозах за первую неделю.

Запросить тестовый доступ

Solar DNS RADAR: защита на уровне DNS-протокола

Solar DNS RADAR — сервис защиты от кибератак через фильтрацию DNS-трафика на базе данных с сетей Рунета. В основе — телеметрия ПАО «Ростелеком»: более 10 миллиардов DNS-запросов в сутки, что обеспечивает уникальную видимость угроз до их появления в публичных базах индикаторов. Как Solar DNS RADAR блокирует угрозы, связанные с DNS-трафиком:

• Выявление вредоносных доменов в реальном времени — фильтрация DNS-трафика по актуальным TI-источникам, включая потоки данных об угрозах Центра исследований киберугроз Solar 4RAYS. Блокировка запросов к C2-серверам, фишинговым доменам, tor-узлам и DGA-доменам до установления соединения.
• Обнаружение DNS-туннелирования — поведенческий анализ паттернов трафика выявляет аномалии, характерные для передачи данных через DNS-канал: нетипичная энтропия, избыточная длина поддоменов, высокая частота однотипных запросов.
• Проверка каждого домена по модели Zero Trust — новый домен проверяется по метаданным, passive DNS и данным honeypot-сенсоров, прежде чем к нему разрешат обращение.

DNS-протокол: от адресной книги к стратегическому рубежу защиты

DNS-протокол прошел путь от вспомогательного инструмента преобразования адресов до критической инфраструктуры, от которой зависит работоспособность всего бизнеса. Его назначение сегодня — не только обеспечивать связность сети, но и служить точкой контроля, где угрозы можно перехватить раньше, чем они достигнут целевых систем.

Компании, которые видят DNS-трафик и управляют им, получают преимущество в скорости реагирования: они узнают об атаке не по факту компрометации, а на стадии первого DNS-запроса к вредоносному домену. Безопасность — это не финальная линия обороны, это база, с которой начинается защита. И DNS-протокол — один из ее фундаментальных элементов.

Solar DNS RADAR закрывает именно эту точку контроля: фильтрует DNS-трафик в режиме реального времени, блокирует обращения к вредоносным доменам и снимает с команды ИБ рутинный разбор миллионов легитимных запросов. Запросите консультацию — и эксперты Solar разберут архитектуру вашей сети и покажут, какие угрозы уже сейчас проходят через ваш DNS-канал.

Часто задаваемые вопросы по назначению протокола DNS