DNS-Over-HTTPS Reconnaissance Engine
Definition: Die DNS-Over-HTTPS Reconnaissance Engine ist ein automatisiertes OSINT-Tool, das DNS-Abfragen verschlüsselt über HTTPS ausführt, um Subdomänen und Infrastruktur zu kartieren. Es kombiniert DoH-Resolving mit Enumerationstechniken und ist darauf ausgelegt, Spuren in klassischem DNS-Monitoring zu vermeiden. Der Einsatz dient der Sicherheitsaufklärung, erfordert aber Genehmigung und Maßnahmen zur Abfragedrosselung.
Funktionsweise von DoH-Recon
Die Engine verpackt klassische DNS-Abfragen in HTTPS-Streams und tarnt sie so als normalen Web-Traffic. Das erschwert klassisches DNS-Monitoring, macht die Abfragen aber nicht unsichtbar: Netzwerkmonitoring kann bekannte DoH-Endpunkte anhand von IP-Adressen oder TLS-Fingerprints erkennen. Unverschlüsseltes DNS lässt sich dagegen von jedem Resolver oder Middlebox direkt mitlesen.
Technisch nutzt die Systemarchitektur zwei Varianten: einen traditionellen Resolver, der hinter einem DoH-Endpunkt sitzt, oder einen direkten API-Aufruf über JSON. Dadurch lassen sich A-, AAAA-, MX-, TXT- und CNAME-Records abrufen, ohne die lokale DNS-Konfiguration zu verändern. Typische Endpunkte liefern neben den Antworten auch Metadaten zur TTL und zur Antwortgröße.
| DoH-Provider | Besonderheit | Einsatzszenario |
|---|---|---|
| Cloudflare 1.1.1.1 | Hohe Performanz, flexible API | Massen-Enumeration |
| Google DNS | Globale Redundanz | Stabilität in Tests |
| Quad9 | Bedrohungsfilter | Sicherheits-Checks |
Ein eingebautes Priming-Modul lädt vor jeder Kampagne öffentlich zugängliche DNS-Datenbanken und Zonendateien. Danach beginnt die eigentliche Reconnaissance-Phase mit iterativen Resolve-Aufrufen.
Aufklärungsmethoden und Datenquellen
Die Kernaufgabe der Engine ist die Subdomain-Enumeration. Dabei kommen Wörterbücher, Permutationen und Zertifikatstransparenz-Logs zum Einsatz. Eine Heuristik gewichtet Kandidaten nach DNS-Priorität und MX-Präsenz; so reduzieren sich falsche Positive signifikant. Reverse-DNS-Lookups ergänzen die Datenbasis, indem sie IP-Bereiche in sprechende Hostnamen übersetzen.
Ohne kognitive Filterung versinkt das Ergebnis in Rauschen. Die Heuristik sortiert nach Relevanz, bevor der Analyst sie überhaupt zu Gesicht bekommt.
Das Framing der Ergebnisse folgt einem Risiko-Modell: Der Betreiber legt fest, ob die Ausgabe internen oder externen Zonen, kritischen Services oder dem Bedrohungskontext gilt. So wird aus einer schlichten Record-Sammlung eine priorisierte Angriffsfläche.
Limitierungen und Gegenmaßnahmen
Trotz der Verschleierung ist eine DNS-Over-HTTPS Reconnaissance Engine nicht unsichtbar. Nachfragen an öffentliche DoH-Endpunkte folgen einem statistisch auffälligen Muster, wenn ein Client innerhalb kurzer Zeit hunderte unterschiedliche Namen anfragt. Provider setzen deshalb oft Familienfilter oder Limits.
Eine definierte Reizschwelle überwacht die Abfragerate und pausiert die Engine, bevor die Anfragen als Missbrauch eingestuft werden. Fehlerhafte Antworten und HTTP-Status 429 werden als Feedback in die Steuerung eingespeist. Technische Gegenmaßnahmen auf der Verteidigerseite nutzen wiederum genau diese Signale: Sie verlangsamen Antworten, liefern bewusst veraltete Daten oder blockieren die IP-Adresse.
Jede Reconnaissance hinterlässt Spuren. Die Frage ist nicht, ob sie entdeckt wird, sondern ob sie vor Abschluss der Analyse entdeckt wird.
Rechtliche und ethische Einordnung
Der Betrieb einer solchen Engine ist kein Selbstzweck. Ohne schriftliche Genehmigung und klaren Scope ist die automatische Abfrage fremder Zonen als Angriffsvorbereitung zu werten. Eine saubere Auftragslage schützt vor rechtlichen Konsequenzen und sorgt für belastbare Ergebnisse in Pentest-Berichten.
Die Verantwortung liegt beim Analysten: Er muss Limits setzen, Quellen dokumentieren und die Ergebnisse sicher verwahren. Das Framing der Ausgabe als reine Netzwerkdaten, nicht als unmittelbare Schwachstelle, hilft dabei, falsche Schlüsse zu vermeiden.
« Back to Glossary Index