Er is een nieuw type malware gespot, misbruikt DoH (DNS over HTTPS), lees
hier. Een nieuw 'feature request' (reeds geweigerd) dat zou kunnen verdedigen tegen deze nieuwe bedreiging werd op discourse aangevraagd, lees
hier. Een 'feature request', dat gaat over het blokkeren van de IP addressen, vermeld op de
GitHub pagina, vind je
hier (pihole-FTL: block IP's from lists).
Stem (vote) voor het 'feature request', als je wil dat pihole je kan beschermen tegen gekende, verdachte IP addressen, en je network dus beter beschermd word.
Relevante lijsten met verdachte IP addressen
hier (talos) en
hier (Firehole).
Diegenen die reeds DoH gebruiken, zou ik aanbevelen na te denken over de implicaties van de malware en de
unbound oplossing als alternatief te overwegen…
`edit`
Bedankt @
Freee!! voor " the vote of confidence, nu nog een
vote voor het
feature request, en dan zetten we opnieuw een gigantische stap richting
ideale wereld.
`/edit`
`edit2`
firefox users! de firefox setting `network.trr.uri` wijst naar `https://mozilla.cloudflare-dns.com/dns-query` (about:settings). Het domain `mozilla.cloudflare-dns.com` levert (nslookup) IP addressen die in de
DoH lijst voorkomen op GitHub. Het is misschien verstandig om het domain te blokken (blacklist), zodat firefox het niet kan oplossen, hopelijk met als resultaat dat firefox DoH niet kan gebruiken, en zo de malware buiten je network blijft.
`/edit2`
`edit3`
Heb nu enkele dagen de IP's uit de GitHub lijst toegevoegd aan de firewall en de de DNS lijst (
raw format) toegevoegd als blocklist aan pihole + `mozilla.cloudflare-dns.com` in de blacklist. Na zeer intensief gebruik van internet, met als doel het oplossen van een probleem met `watchdog` (zie het resultaat in de pihole
handleiding), heb ik geen enkel probleem ervaren met de toevoegingen.
Ik lees op verschillende plaatsen de opmerking over het gebruik van unbound, dat alles unencrypted is. Ik beschouw dit als een security voordeel, omdat, in het originele
artikel staat:
`quote`
The DoH (DNS) request is encrypted and
invisible to third-party observers, including cyber-security software that relies on passive DNS monitoring to block requests to known malicious domains.
`/quote`
Zelf gebruik ik
suricata op pfsense, maar er zijn een heleboel security producten (o.a. ook
snort en andere, enterprise gerichte security oplossingen). In de suricata logs vind ik regelmatig entries i.v.m DNS packets die gedropt zijn, omdat ze de regels die ik in suricata heb aangezet activeren. Deze DNS packets zouden waarschijnlijk niet opgemerkt zijn bij gebruik van DoH.
Ook
maltrail,
hier uitgelegd op het forum, kan rustig zijn ding doen en domains identificeren, die je eventueel wil blacklisten.
`/edit3`
[
Voor 52% gewijzigd door
jpgview op 07-07-2019 10:35
. Reden: please vote ]