הרעלת DNS: מה זה בדיוק, איך זה עובד, ולמה מיקרו-סגמנטציה יכולה להציל אתכם?

נתחיל מהבסיס. הרעלת DNS (המכונה גם הרעלת מטמון DNS, או באנגלית DNS Cache Poisoning) מתרחשת כאשר תוקף משבש את המטמון של שרת ה-DNS, וגורם לו להחזיר כתובות IP מזויפות עבור דומיינים לגיטימיים. זה לא רק מתוחכם – אלא גם מסוכן מאוד. לפתע, משתמשים משוכנעים שהם גולשים אל אתר הבנק שלהם (לדוגמה yourbank.com), אבל בפועל הם מופנים אל כתובת IP זדונית שנמצאת בשליטת התוקף. כך בדיוק דולפות סיסמאות, מופצת תוכנה זדונית, ומידע רגיש נגנב.

מה זה אומר בפועל? מדובר בניצול חולשה שמשנה את "ספר הטלפונים" של האינטרנט וגורם לדפדפן שלכם לחייג למספר הלא נכון. ומרגע שהרעל נכנס למטמון ה-DNS, כל מכשיר שפונה לשרת DNS הנגוע יקבל את התשובה המזויפת הזו – עד שיפוג תוקף הרשומה הזדונית.

כיצד פועלת הרעלת DNS?

בבסיסה, הרעלת DNS כרוכה בהזרקה של נתונים מזויפים אל תוך המטמון של שרת ה-DNS. המטרה? להטעות את שרת ה-DNS ו"לשכנע" אותו לקשר בין שם מתחם מסוים (לדוגמה bank.com) לבין כתובת IP זדונית שבשליטת התוקף.

בדרך כלל, התהליך מתרחש כך:

• התוקף שולח בקשת DNS לשרת DNS פגיע, לרוב תוך שימוש בזיוף כתובת מקור (Spoofing).
• במקביל, התוקף מציף את שרת ה-DNS בתשובות מזויפות שנראות כאילו הגיעו מהשרת המוסמך (Authoritative DNS Server).
• אם התשובה המזויפת של התוקף תואמת בדיוק לבקשה המקורית של שרת ה-DNS (לפי פרמטרים כגון מספר מזהה טרנזקציה, פורט ומקור), היא מתקבלת כתגובה לגיטימית.
• שרת ה-DNS שומר במטמון את התשובה המזויפת הזו.
• כל משתמש שפונה לשרת ה-DNS ומבקש את שם המתחם הזה (במהלך חלון הזמן המוגדר כ-Time to Live או TTL) מופנה באופן מיידי אל כתובת ה-IP של התוקף.

הטכניקה הזאת יעילה במיוחד כאשר שרתי ה-DNS:

• מקבלים תשובות לא מאומתות (Unauthenticated responses).
• אינם משתמשים באקראיות של פורטי המקור (Source Port Randomization).
• אינם מיישמים DNSSEC (מנגנון אבטחה שנועד להגן מפני זיוף DNS).

והחלק הגרוע ביותר? הרשומה המורעלת נשארת במטמון עד לפקיעת תוקפה, או עד להתערבות ידנית של מנהל המערכת.

תוקפים מתקדמים אף משתמשים בטכניקה זו בשילוב עם מתקפות נוספות, כמו פישינג, הפצת תוכנה זדונית או יצירת ערוצי תקשורת לפיקוד ושליטה (Command-and-control callbacks), לרוב באמצעות תת-דומיינים שקשה לזהות.

מה מאפיין מתקפת הרעלת DNS?

מאפיין מרכזי במתקפות הרעלת DNS הוא חשאיות והתמדה. ברגע שהתוקף מצליח להזריק רשומה מזויפת למטמון השרת, היא מתנהגת כמו כל רשומת DNS תקינה, והופכת למעשה בלתי נראית למשתמש הרגיל.

סימנים מזהים מרכזיים:

• משתמשים שמנסים לגשת לדומיינים לגיטימיים מופנים לכתובות IP לא מורשות או חיצוניות, הנשלטות על ידי התוקף.
• הפניית משתמשים לאתרים זדוניים או פורטלי פישינג, שבהם הם עשויים להקליד סיסמאות או להוריד תוכנה זדונית מבלי לדעת.
• ההתמדה של הרשומה המורעלת עד לפקיעת תוקף ה-TTL, או עד שהמנהל מרענן את המטמון. זוהי בדיוק הנקודה שבה רשומת ה-DNS (DNS Resource Record) הופכת לחשובה במיוחד, כי היא זו שקובעת למשך כמה זמן המתקפה תימשך.
• הסתננות של ערוצי פיקוד ושליטה, שבהם תוכנות זדוניות משתמשות ברשומות DNS מזויפות כדי לתקשר עם שרתי השליטה של התוקף.

ומה שהופך את ההתקפה למסוכנת כל כך? התשובות המורעלות מגיעות משרת DNS מהימן – ולכן המשתמש כלל לא חושד שמשהו אינו כשורה.

הרעלת מטמון DNS לעומת זיוף DNS – מה ההבדל?

שני המושגים הללו בדרך כלל מוזכרים יחד, אבל למעשה הם לא אותו דבר:

• זיוף DNS (DNS Spoofing) הוא טקטיקה – שבה התוקף מזייף את תשובת ה-DNS כדי להטעות את המערכת ולקבל תשובה שגויה.
• הרעלת מטמון DNS (DNS Cache Poisoning) היא התוצאה – מטמון DNS שהותקף מפיץ מידע שגוי למשתמשים רבים.

אפשר להסתכל על זיוף DNS כמתקפה האקטיבית, ועל הרעלת המטמון כנזק שנותר אחריה. ניסיון זיוף אחד מוצלח יכול להרעיל את כל מטמון הארגון, כך שכל שאילתה עתידית לדומיין הנגוע תופנה לכתובת IP זדונית.

הבנת ההבחנה הזו חיונית כשבונים אסטרטגיות לאיתור ומניעה של התקפות מסוג זה.

איך מזהים הרעלת DNS?

זיהוי מוקדם הוא קריטי למזעור נזקי המתקפה. להלן דרכים אפקטיביות לזיהוי הרעלת DNS או הרעלת מטמון DNS:

• ניטור חריגות בתעבורת ה-DNS: משתמשים שמתחילים לקבל כתובות IP בלתי צפויות עבור דומיינים מוכרים – זו נורת אזהרה ברורה.
• תיעוד ולוגינג של שאילתות DNS ותשובות לפי סגמנטים (Segments) בארגון, כדי לזהות תבניות חריגות. למשל, מחשב של מחלקת משאבי האנוש שפונה לכתובת ציבורית במקום לכתובת פנימית (כמו corp-auth.local).
• אינטגרציה עם מערכות SIEM לניטור שינויים בהתנהגות של שאילתות DNS, כולל חוסר התאמה ב-TTL, תשובות לא מורשות, או קפיצות פתאומיות בכמות השאילתות עבור דומיינים חשובים.
• השוואת תוצאות מקומיות של DNS אל מול שרתים חיצוניים אמינים (כגון Cloudflare 1.1.1.1 או Google 8.8.8.8) באמצעות כלים כמו dig, nslookup או כלי פיקוח DNS.
• הטמעת כלי בדיקת תקינות תשובות DNS, המוודאים מקור אותנטי, פורמט תקין וחתימה נכונה של הרשומות.
• זיהוי חוסר עקביות בערכי ה-TTL של רשומות DNS – ערכי TTL ארוכים מדי או קצרים באופן מחשיד הם סימן אפשרי להרעלה.
• בדיקת שאילתות רוחביות (Lateral) במערכות DNS, כמו מחשבים ששולחים שאילתות לשרתים שאינם באזור המוגדר להם.

הרעלת DNS לרוב חומקת מתחת לרדאר משום שהיא אינה משבשת את החיבוריות – אלא משתלטת עליה. זו בדיוק הסיבה שהזיהוי הוא כל כך חשוב.

איך מתקנים הרעלת DNS?

ברגע שזיהיתם שרת DNS מורעל, הזמן קריטי. להלן הצעדים לתיקון מהיר של הרעלת DNS או הרעלת מטמון DNS:

• ניקוי (Flush) של מטמון ה-DNS בשרתים שנפגעו באמצעות פקודות ספציפיות למערכת או לתוכנה (לדוגמה, rndc flush ב-BIND או Clear-DnsServerCache ב-PowerShell).
• הפעלה מחדש של שירותי DNS כדי לנקות רשומות מורעלות שנותרו בזיכרון.
• בדיקת מטמוני הלקוחות והנחיית משתמשים לבצע ניקוי ידני או אתחול המחשב (לדוגמה ipconfig /flushdns).
• בדיקת הגדרות DNS: לוודא כי שרתי ה-DNS שבשימוש הם אמינים, מאומתים, ועדיף מוצפנים באמצעות פרוטוקולים כמו DNS over HTTPS (DoH) או DNS over TLS (DoT).
• הפעלת DNSSEC בשרתי ה-DNS, כדי שכל תשובה עתידית תהיה חתומה ומאומתת קריפטוגרפית.
• עדכון הגדרות פיירוול וחוקי מיקרו-סגמנטציה לחסימת תעבורה לכתובות IP זדוניות, והבטחה כי מחשבי הקצה שואלים רק שרתי DNS פנימיים.
• ניטור התנהגות שרת ה-DNS לאחר התיקון כדי לוודא שהתבניות חזרו למצב התקין.
• תיעוד וביקורת של שאילתות לזיהוי כל ניסיון חוזר או חריגות שנותרו.

חשוב יותר, ניתוח כיצד התרחשה ההרעלה. האם הסיבה הייתה תוכנת DNS לא מעודכנת, העדר אימות מול שרתי DNS חיצוניים, או הגדרה לקויה של הפיירוול? תיקון שורש הבעיה חשוב בדיוק כמו ניקוי המטמון.

מהי רשומת DNS?

רשומת DNS (DNS Resource Record או RR) היא מבנה נתונים המשמש לאחסון מידע במערכת ה-DNS. כל רשומה כוללת פרטים כמו שם הדומיין, סוג הרשומה (A, AAAA, CNAME וכו'), זמן חיים (TTL), וערך הרלוונטי. ה-TTL הוא קריטי במיוחד במתקפת הרעלת DNS, כי הוא קובע כמה זמן ההרעלה יכולה להימשך. אם התוקף הצליח להזריק רשומה עם TTL ארוך במיוחד, ההרעלה עשויה להימשך שעות ואפילו ימים.

סוגי רשומות DNS נפוצים שקשורים להרעלה הם:

• רשומות A/AAAA – קישור שמות דומיין לכתובות IP, המשמשות להפניה מחדש.
• רשומות NS – רשומות האחראיות על אזורים (Zones), כאשר זיופן יכול להפנות אזור שלם.
• רשומות CNAME – שמות חלופיים שניתן לנצל להסתרת הפניות זדוניות.

החתמת הרשומות באמצעות DNSSEC מבטיחה אימות קריפטוגרפי טרם הקבלה שלהן.

תפקידו של DNS באבטחה הרחבה יותר

DNS אינו רק מנגנון איתור כתובות – אלא רכיב קריטי לשליטה בגישה לאפליקציות, התנהגות משתמשים, ואפילו לתקשורת תוכנות זדוניות. הרעלת DNS משמעותה פגיעה במבנה הבסיסי של האמון בארגון.

הרעלת DNS עלולה:

• להפנות פורטלי אימות לאתרים זדוניים.
• להשתלט על מנגנוני עדכוני תוכנה להפצת נוזקות.
• לשבש אימות SPF/DKIM/DMARC בדואר אלקטרוני דרך זיוף רשומות MX ו-TXT.

ארגונים שמשתמשים בטכנולוגיות MFT, VDI או SASE חייבים להתייחס לשלמות ה-DNS כאל נדבך יסודי באבטחתם.

מדוע מיקרו-סגמנטציה לבדה לא עוצרת הרעלה – אך עדיין חשובה?

מיקרו-סגמנטציה אינה מאמתת תשובות DNS, אך היא מפחיתה את הנזק:

• מגבילה אילו שרתי DNS נקודות הקצה יכולות לשאול.
• מכילה את האזורים המורעלים לסגמנט אחד בלבד.
• חוסמת תנועה רוחבית אם נקודת קצה מקבלת כתובת מזויפת.
• מוסיפה הקשר של לוגים לזיהוי חריגות DNS לפי סגמנטים.

בשילוב עם DNSSEC, מיקרו-סגמנטציה מבוססת-זהות מבטיחה שגם אם כתובת מזויפת תתקבל, לא ניתן יהיה לנוע רוחבית לאזורים אחרים.

מילת סיכום: הגנת DNS שכבתית

מניעת הרעלת DNS מחייבת הגנה שכבתית: DNSSEC, סגמנטציה, זיהוי מתקדם, ותגובה מהירה.
אם תתייחסו ל-DNS כערוץ צדדי – אתם תיפגעו. אם תתייחסו אליו כווקטור תקיפה מרכזי – תוכלו לבנות מערכות שיודעות לאתר, להכיל, ולעמוד בהתקפות הרעלה.