DNS-Over-HTTPS Reconnaissance
Definition: DNS-over-HTTPS (DoH, RFC 8484) Reconnaissance bezeichnet die gezielte Nutzung verschlüsselter DNS-Abfragen zur verdeckten Erkundung von IT-Infrastrukturen. Angreifer umgehen damit klassische Netzwerküberwachung und gewinnen Informationen über Domains, Dienste und interne Strukturen aus DNS-Antworten. Für OSINT-Analysten stellt diese Technik zugleich Angriffsmuster und Schutzmechanismus dar.
Was bedeutet DNS-Over-HTTPS Reconnaissance?
DNS-over-HTTPS (DoH) kapselt DNS-Abfragen in HTTPS-Verbindungen. Der Standard (RFC 8484) schützt die Privatsphäre normaler Nutzer. In der Aufklärung nutzen Angreifer dieses Protokoll jedoch als Tarnung. Sie stellen DNS-Abfragen so, dass Firewalls und Intrusion-Detection-Systeme sie nicht mehr klassisch analysieren können. Die Abfragen selbst werden zu Aufklärungsinstrumenten: Sie liefern Informationen über Domains, Serverstandorte, Dienste und Netzstrukturen.
Bei der Reconnaissance handelt es sich um die erste Phase eines Angriffs. Die Wahl des Abfragemusters folgt dabei einer klaren Heuristik. Ein Angreifer testet systematisch, welche DNS-Namen existieren und welche Dienste erreichbar sind.
Jede DNS-Abfrage ist ein stiller Hinweis auf die nächste Angriffsphase.
Wie funktioniert die verdeckte Aufklärung?
DoH verbindet sich zu einem HTTPS-Endpunkt, typischerweise Port 443. Die eigentliche DNS-Abfrage wird im TLS-Stream verschlüsselt. Dadurch ist der Inhalt für Netzwerk-Monitoring unsichtbar. Der Betreiber des DoH-Servers sieht jedoch die Abfrage im Klartext. Angreifer nutzen öffentliche oder selbst betriebene DoH-Resolver, um diese Sichtbarkeit zu kontrollieren.
Die folgende Tabelle zeigt die Unterschiede zwischen klassischem DNS und DNS-over-HTTPS.
| Eigenschaft | Klassisches DNS | DNS-over-HTTPS |
|---|---|---|
| Transport | UDP/TCP Port 53 | HTTPS Port 443 |
| Sichtbarkeit | Klartext, analysierbar | verschlüsselt, verdeckt |
| Typische Steuerung | Netzwerkadministrator | Endnutzer / Angreifer |
| Erkennbarkeit | hoch | niedrig |
| Logging | zentral möglich | oft externalisiert |
Der Wechsel auf DoH verschiebt die Reizschwelle für Sicherheitsalarme. Standardregeln, die schädliche DNS-Namen blockieren, greifen nicht mehr.
Warum ist diese Methode riskant?
Unternehmen verlieren eine wichtige Telemetriequelle. DNS-Logs gelten als Frühwarnsystem, da sie oft vor schädlichen Verbindungen anfallen. Verschleiern Angreifer ihre DNS-Abfragen, fehlen diese Hinweise. Zudem können kompromittierte Systeme DoH nutzen, um C2-Server zu erreichen. Das Framing des Protokolls als Datenschutzfunktion erschwert es Sicherheitsteams, das Verhalten zu unterbinden.
Ein Angreifer, der DoH zur Reconnaissance einsetzt, erzeugt kaum Rauschen. Die Abfragen sind einzeln unauffällig. Erst im Verbund deuten sie auf eine systematische Erkundung hin.
Wie lässt sich DoH-Reconnaissance erkennen?
Die Erkennung beginnt mit gezielten Analyse-Regeln. Netzwerkteams sollten den Datenverkehr zu bekannten DoH-Servern überwachen. Eine Allowlist für DNS-Server im Unternehmen setzt die Kontrollinstanz auf die Infrastruktur des Betreibers. TLS-Inspektion kann helfen, ohne die Privatsphäre komplett zu opfern.
Zudem helfen Verhaltensheuristiken. Wiederholte Abfragen nicht existenter Domains, ungewöhnliche Abfragezeiten oder plötzliche Wechsel auf DoH sind Indikatoren. Wichtig ist, die Schwellwerte so zu setzen, dass Fehlalarme nicht die Aufmerksamkeit der Analysten überfluten.
Die Analogie mit den Umschlägen
Stellen Sie sich eine Postkarte vor: Jeder kann den Text lesen. Klassisches DNS gleicht einer Postkarte. Nun verschicken Sie dieselbe Nachricht in einem versiegelten Umschlag über einen privaten Kurier. Der Inhalt ist geheim, der Empfänger nicht. DoH-Reconnaissance funktioniert ähnlich. Ein Detektiv sieht nur, dass Pakete an bestimmte Adressen gehen. Sind es viele ungewöhnliche Adressen, wird er misstrauisch.
Diese Verschiebung der Sichtbarkeit zwingt Verteidiger zu neuen Methoden. Die ehemals offene Kommunikation wird zur geschützten, aber nicht unsichtbaren Spur. Der Fokus verschiebt sich vom Inhalt zum Kontext.
« Back to Glossary Index