DNS wird kritischer Bestandteil resilienter IT-Umgebungen Wie NIST mit SP 800-81r3 die DNS-Sicherheit neu definiert

Anbieter zum Thema

Infoblox Germany GmbH

FTAPI Software GmbH

Insider Research

NIST hat mit der Special Publication 800-81r3 seine DNS-Si­cher­heits­richt­li­nie erstmals seit zwölf Jahren überarbeitet. DNS wird damit ein kritischer Bestandteil resilienter Infrastrukturen. Unternehmen ohne DNS-Si­cher­heits­fo­kus brauchen jetzt eine Strategie, die regulatorische Anforderungen erfüllt und auf Protective DNS als aktive Schutzmaßnahme setzt.

Lange Zeit war DNS eine unterschätzte Basistechnologie und lief als Hintergrunddienst ohne angemessene Sicherheitspraxis. Dabei ist das Domain Name System (DNS) die Grundlage jeder digitalen Kommunikation. Es übersetzt Domainnamen in numerische IP-Adressen und ist damit an praktisch jeder Netzwerkverbindung beteiligt. Die SP 800-81r3 berücksichtigt nun als erstes Update seit zwölf Jahren die veränderte Bedrohungslage und rückt die Absicherung der DNS-Infrastruktur in den Mittelpunkt. Denn gerade in komplexen IT-Umgebungen – etwa durch Abhängigkeiten mit Systemen wie Active Directory – entstehen Risiken, die bisher oft unterschätzt wurden. DNS wird jetzt als Sicherheitsrisiko und als zentraler Kontrollpunkt in der Cyberabwehr verstanden. Sicherheit beginnt damit nicht mehr erst am Endpoint oder an der Firewall, sondern bereits bei der ersten DNS-Anfrage.

In einem ganzheitlichen Ansatz definiert NIST diese drei zentralen Säulen für die DNS-Sicherheit:

• Absicherung der DNS-Infrastruktur

• Sicherstellung der Integrität von Systemen und Konfigurationen

• Einsatz von Protective DNS als aktiver Sicherheitsmechanismus

Das Konzept geht damit weit über die Fokussierung auf DNSSEC der bisherigen Richtlinie hinaus.

DNS-Monitoring bringt IT-Sicherheit

DNS-Fehler – Die unterschätzte Gefahr

Einsatz von Protective DNS zur Abwehr von Bedrohungen

Protective DNS (PDNS) ist jeder Sicherheitsdienst, der DNS-Anfragen analysiert und Maß­nah­men zur Abwehr von Bedrohungen ergreift, wobei das bestehende DNS-Protokoll und die existierende Architektur genutzt werden. Protective DNS verhindert den Zugriff auf Malware, Ransomware, Phishing-Angriffe, Viren, bösartige Websites sowie Spyware bereits an der Quelle und macht das Netzwerk dadurch von Grund auf sicherer.

Dieser Ansatz ist ein zentrales Thema der aktualisierten NIST-Leitlinie. DNS-Anfragen werden in Echtzeit analysiert und auf Basis von Bedrohungsdaten gefiltert. Ziel ist es, Verbindungen zu bekannten schädlichen Domains zu unterbinden, bevor sie Endpunkte oder Nutzer erreichen. PDNS wirkt damit nicht als reaktive Maßnahme nach einem Sicherheitsvorfall, sondern als präventive, vorgelagerte Kontrolle, die Angriffspfade von vornherein unterbricht. Kernfunktionen sind:

• Neue Domains in Echtzeit ab dem Zeitpunkt der Registrierung oder Erstellung blockieren.

• Die Auflösung von Domains mit bestimmten Merkmalen verzögern.

• Den gesamten ausgehenden DNS-Auflösungsverkehr zum Zeitpunkt eines Malware- oder Ransomware-Vorfalls unterbrechen und absichern.

• Echtzeit- und historische Transparenz über den gesamten ausgehenden DNS-Verkehr für die Reaktion auf Vorfälle und deren Analyse.

Unternehmen sollten den Einsatz von PDNS unbedingt prüfen. Entsprechende Lösungen lassen sich einfach implementieren, sind äußerst skalierbar und entlasten andere Sicherheitsplattformen wie Firewalls.

Schlimmster je entdeckter Angriff auf DNS

Kritische Sicherheitslücke in DNSSEC entdeckt

Wie wirksam ist die derzeitige DNS-Infrastruktur gegen komplexe Bedrohungen?

Klassische DNS-Sicherheitslösungen stoßen angesichts der wachsenden Komplexität moderner Cyberbedrohungen zunehmend an ihre Grenzen. Veralteten Ansätzen fehlt die Flexibilität, fortgeschrittene Taktiken zu erkennen oder zu blockieren. Folgende Fragen helfen Unternehmen, ihren Handlungsbedarf einzuschätzen und die Einhaltung der SP 800-81r3 vorzubereiten:

• Gibt es vollständige Transparenz über alle DNS-Aktivitäten in der gesamten IT-Umgebung, einschließlich Cloud, Remote-Nutzer und OT-Netzwerke?

• Wird DNS als zentraler Kontrollpunkt der Cyberabwehr verstanden und aktiv als präventive Sicherheitsmaßnahme eingesetzt, etwa durch Protective DNS?

• Entspricht die bestehende DNS-Architektur den neuesten Best Practices hinsichtlich Redundanz, DNSSEC und verschlüsselter Übertragung?

• Sind für DNS-Betrieb und -Sicherheit klare Zuständigkeiten und Governance-Prozesse festgelegt?

• Ist das Unternehmen auf die neuen regulatorischen Anforderungen zur DNS-Sicherheit bereits vorbereitet, sowohl technisch als auch mit Blick auf die Dokumentationspflichten?

Für eine schnelle Analyse ihrer bestehenden DNS-Risikosituation und zur Identifikation von Konfigurationslücken können Unternehmen auf entsprechende DNS-Sicherheitsbewertungen zurückgreifen, wie sie mittlerweile mehrere Anbieter kostenlos anbieten. Diese decken Risiken und Lücken der DNS-Sicherheit auf, liefern Einblicke in die Wirksamkeit der aktuellen Si­cher­heits­infra­struk­tur bei der Erkennung sowie Abwehr von Bedrohungen und geben Empfehlungen, wie Unternehmen identifizierte Lücken in den bestehenden Si­cher­heits­kon­trollen und -richtlinien schließen können.

Video-Tipp: DNS-Sicherheit

DNS in Windows-Netzwerken absichern

Fazit

Präventive Sicherheit beginnt im Netzwerk, und hier insbesondere im DNS als zentralem Kontrollpunkt und erster Verteidigungslinie. Intelligente Protective-DNS-Technologien analysieren Datenverkehr sowie Verhaltensweisen in Echtzeit und erkennen Anomalien in DNS-Abfragen, anstatt nur bekannte bösartige Domains zu blockieren.

Unternehmen, die ihre DNS-Sicherheit bislang nicht strategisch aufgestellt haben, sollten jetzt handeln und frühzeitig die regulatorischen Anforderungen erfüllen. Zunächst gilt es den Handlungsbedarf zu analysieren und die bestehende DNS-Sicherheit zu bewerten. Davon ausgehend können Unternehmen die Lücken in ihren Sicherheitsmaßnahmen schließen und eine messbare Risikominimierung nachweisen. Denn Behörden und Aufsichtsstellen erwarten zunehmend nachweisbare Ergebnisse und dokumentierte Betriebskontinuität anstatt reiner Compliance-Dokumentation.

Über den Autor: Steffen Eid ist Director of Sales Engineering bei Infoblox.

Sicherheit mit Windows Server 2022 erhöhen

DNS-Abfragen mit Richtlinien steuern und DNS-over-HTTPs aktivieren

(ID:50908404)