--- id: CP-221 slug: dns-telefoonboek-internet-kwetsbaarheden lang: nl title: DNS, het telefoonboek van internet description: DNS koppelt de naam van een site aan het adres, zonder dat iemand het ziet. Waarom aanvallers het viseren en wat een medewerker doet. canonical_url: https://startbrain.io/cyberpedia/nl/articles/dns-telefoonboek-internet-kwetsbaarheden/ markdown_url: https://startbrain.io/cyberpedia/nl/articles/dns-telefoonboek-internet-kwetsbaarheden.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, “DNS, het telefoonboek van internet”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/nl/articles/dns-telefoonboek-internet-kwetsbaarheden/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-057 schema: G3 updated: "2026-11-03" translations: nl: https://startbrain.io/cyberpedia/nl/articles/dns-telefoonboek-internet-kwetsbaarheden/ fr: https://startbrain.io/cyberpedia/fr/articles/dns-annuaire-internet-vulnerabilites/ en: https://startbrain.io/cyberpedia/en/articles/dns-internet-phonebook-vulnerabilities/ de: https://startbrain.io/cyberpedia/de/articles/dns-telefonbuch-internet-schwachstellen/ es: https://startbrain.io/cyberpedia/es/articles/dns-agenda-telefonica-internet-vulnerabilidades/ it: https://startbrain.io/cyberpedia/it/articles/dns-rubrica-internet-vulnerabilita/ sources: - "n": 1 title: SP 800-81 Rev. 3, Secure Domain Name System (DNS) Deployment Guide publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/81/r3/final published: "2026-03-19" accessed: "2026-11-03" - "n": 2 title: "ED 19-01: Mitigate DNS Infrastructure Tampering (Closed)" publisher: CISA url: https://www.cisa.gov/news-events/directives/ed-19-01-mitigate-dns-infrastructure-tampering-closed published: "2019-01-22" accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: DNS Server, Sub-technique T1584.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/002/ accessed: "2026-11-03" - "n": 4 title: "Application Layer Protocol: DNS, Sub-technique T1071.004 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/004/ accessed: "2026-11-03" - "n": 5 title: Dynamic Resolution, Technique T1568 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1568/ accessed: "2026-11-03" --- # DNS, het telefoonboek van internet DNS (Domain Name System) is het telefoonboek waarmee een browser of e-mailprogramma de dienst achter een domeinnaam terugvindt. NIST beschrijft het als een integraal onderdeel van elke netwerkarchitectuur van een bedrijf: een aanval op de DNS van een bedrijf bedreigt al zijn netwerkactiviteiten [1]. Voor een medewerker is deze stap onzichtbaar. Het adres in de browser kan kloppen en toch ergens anders heen leiden als het telefoonboek is gewijzigd. Deze pagina legt uit waarom aanvallers hierin geïnteresseerd zijn en wat er voor de gebruiker overblijft, want de rest is een zaak van de technische teams. ## In 30 seconden - Waar het gebeurt: bij elke keer dat u een site of een e-mailprogramma opent, zonder zichtbaar teken, ook op een site die u kent. - Wat de aanvaller wil: webverkeer en mailverkeer omleiden naar zijn eigen infrastructuur om het te inspecteren, of communicatie verbergen in DNS-verkeer [2][4]. - De reflex: controleer het weergegeven adres, wees op uw hoede voor verkeerd gespelde domeinnamen, meld elk ongewoon gedrag aan de helpdesk en wijzig nooit zelf uw DNS-instellingen. - Als het al gebeurd is: waarschuw de helpdesk meteen en vermeld de site, het tijdstip en wat u hebt ingevoerd. ## Directe vragen ### Wat doet DNS concreet? Het koppelt de naam van een dienst aan een adres. CISA geeft een voorbeeld: om gebruikers te helpen een e-mail- of samenwerkingsdienst te bereiken, laat een organisatie een naam in haar eigen domein verwijzen naar het domein van haar leverancier [2]. De medewerker typt of klikt op een naam en DNS bepaalt waar hij terechtkomt. ### Waarom is het een doelwit? Omdat een wijziging op de juiste plek alle gebruikers van een domein tegelijk treft. CISA beschrijft aanvallers die web- en mailverkeer hebben omgeleid en onderschept [2]. MITRE merkt op dat een aanvaller die de controle over een DNS-server overneemt, DNS-records kan wijzigen en het verkeer van een organisatie kan omleiden [3]. ### Zie ik een waarschuwing als mijn verkeer wordt omgeleid? Niet per se. Volgens CISA kan een aanvaller die de DNS-waarden zelf instelt, geldige versleutelingscertificaten krijgen voor de namen van de organisatie. Het omgeleide verkeer kan dan worden ontsleuteld, en omdat het certificaat geldig is voor het domein, krijgt de gebruiker geen foutmelding [2]. ### Kan ik zelf mijn DNS wijzigen om veiliger te zijn? Nee. De DNS van een bedrijf valt onder meerdere technische rollen, die elk hun eigen beveiligingsvraagstukken hebben [1]. Een persoonlijke instelling op een werkcomputer valt buiten dat kader en kan de beschermingen van het bedrijf omzeilen. Bij twijfel over een trage of vreemde site beslist de helpdesk. ### Kan DNS ook voor iets anders dienen dan omleiden? Ja. MITRE beschrijft DNS-tunneling: opdrachten die naar een gecompromitteerd systeem worden gestuurd, en vaak ook de resultaten ervan, worden verborgen in DNS-verkeer [4]. Dit protocol is gebruikelijk in omgevingen en kan al zijn toegestaan voordat de authenticatie op het netwerk is afgerond [4]. ## Hoe het werkt Een domeinnaam heeft alleen waarde door de records die eraan gekoppeld zijn. CISA noemt bijvoorbeeld adresrecords (A), records van mailservers (MX) en records van nameservers (NS) [2]. Het aanvalspad dat CISA beschrijft, bestaat uit drie stappen. De aanvaller compromitteert de inloggegevens van een account dat DNS-records kan wijzigen, of komt er op een andere manier aan. Daarna vervangt hij het legitieme adres van een dienst door een adres dat hij zelf beheert, zodat hij het verkeer kan onderzoeken of manipuleren voordat hij het, als hij dat wil, doorgeeft aan de echte dienst. Ten slotte kan hij geldige certificaten verkrijgen om dit verkeer te ontsleutelen en de gegevens te lezen die gebruikers invoeren [2]. CISA voegt toe dat dit risico blijft bestaan na de periode van omleiding [2]. MITRE wijst op nog een mogelijkheid: ongemerkt subdomeinen aanmaken die naar kwaadaardige servers verwijzen, zonder dat de eigenaar van de DNS-server het merkt [3]. Dezelfde tekst stelt dat een groot deel van deze activiteit zich buiten het zicht van de getroffen organisatie afspeelt, waardoor detectie moeilijk is [3]. DNS dient ook als commandokanaal. Bij de techniek van DNS-beaconing lopen opdrachten via DNS-verzoeken, in records van het type TXT of A. Deze beacons zijn moeilijk op te sporen omdat ze zelden communiceren met de geïnfecteerde apparaten, waardoor ze opgaan in het normale verkeer [4]. Dynamic resolution maakt het kwaadaardige software mogelijk de domeinnaam, het IP-adres of de poort die ze gebruikt aan te passen [5]. ## Wat u doet - Lees het weergegeven adres voordat u een wachtwoord of gegevens invoert. Vergelijk het letter voor letter met het gebruikelijke adres: een bijna gelijke domeinnaam met een tikfout leidt naar een andere site. - Vertrouw niet op het uitblijven van een waarschuwing van de browser. Een geldig certificaat bewijst niet dat er geen omleiding heeft plaatsgevonden [2]. - Open uw diensten via uw favorieten of via het officiële adres dat het bedrijf doorgeeft, liever dan via een ontvangen link. - Meld elk ongewoon gedrag aan uw helpdesk: een onverwachte inlogpagina, een mailprogramma dat zich anders gedraagt, een bekende site die er anders uitziet. - Wijzig de DNS-instellingen van uw computer en van uw router op kantoor niet. ## De valkuilen Eerste valkuil: denken dat een correct adres genoeg is. Bij de aanvallen die CISA beschrijft, wordt het telefoonboek gewijzigd en niet het adres dat de gebruiker typt [2]. Tweede valkuil: denken dat het onderwerp alleen informatici aangaat. De aanval begint met inloggegevens: CISA eiste van de federale uitvoerende agentschappen van de Verenigde Staten dat ze de wachtwoorden wijzigden van accounts die DNS kunnen aanpassen en multifactorauthenticatie toevoegden [2]. CISA beveelt phishingbestendige factoren aan en raadt authenticatie via sms af [2]. Een medewerker die een domeinnaam beheert of een account bij een DNS-hostingpartij heeft, is er rechtstreeks bij betrokken. Derde valkuil: aannemen dat de leverancier altijd veilig is. MITRE rekent de compromittering van DNS-servers van derden tot de technieken van aanvallers, die zo hun eigen servers niet hoeven op te zetten [3]. Dynamic-DNS-diensten, zoals DuckDNS, zijn door de groep APT-C-36 gebruikt om slachtoffers om te leiden naar sites of repositories met kwaadaardige software [5]. Een onbekende domeinnaam is dus geen teken van vertrouwen, hoe hij er ook uitziet. ## Echte gevallen ### Januari 2019: de noodrichtlijn van CISA Op 22 januari 2019 publiceerde CISA noodrichtlijn ED 19-01, "Mitigate DNS Infrastructure Tampering" [2]. CISA gaf aan een reeks incidenten van manipulatie van DNS-infrastructuur te volgen en te weten dat meerdere domeinen van uitvoerende agentschappen van de Amerikaanse overheid waren getroffen [2]. De richtlijn legde de agentschappen vier acties op. De eerste drie, uit te voeren binnen 10 werkdagen, waren: de openbare DNS-records auditen, de wachtwoorden van de betrokken accounts wijzigen en multifactorauthenticatie toevoegen [2]. Voor de vierde begon CISA binnen 10 werkdagen met het aanleveren van de nieuwe certificaten aan de certificate-transparencylogs, en de agentschappen moesten die vanaf ontvangst monitoren [2]. De tekst van CISA vermeldt nu dat CISA tot de conclusie kwam dat het doel van de richtlijn was bereikt en dat zij de richtlijn heeft gesloten [2]. ### 2019: de campagne Sea Turtle MITRE koppelt aan de groep Sea Turtle het wijzigen van records van nameservers (NS) zodat ze verwezen naar DNS-servers die de groep beheerde, om de antwoorden op alle DNS-verzoeken te leveren [3]. Onder de referenties van MITRE staat een analyse van Cisco Talos van 17 april 2019, "Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service", gevolgd door een tweede van 9 juli 2019 [3]. De bronnen van het dossier geven geen details over de slachtoffers van deze campagne. ## Voor de technische teams De gids NIST SP 800-81 Rev. 3, gepubliceerd in maart 2026, vervangt de versie van 2013 [1]. Hij geeft implementatieaanbevelingen om het DNS-protocol en de DNS-infrastructuur te beveiligen, configuratiefouten te beperken en een netwerkbeveiligingslaag toe te voegen [1]. Tot de trefwoorden behoren DNSSEC, versleutelde DNS, beschermende DNS en DNS-logging [1]. De richtlijn van CISA wijst ook op het monitoren van uitgegeven certificaten en het bijhouden van een inventaris van beheerde domeinen [2]. ## Bronnen 1. NIST, “SP 800-81 Rev. 3, Secure Domain Name System (DNS) Deployment Guide”, 19 maart 2026. https://csrc.nist.gov/pubs/sp/800/81/r3/final (geraadpleegd op 3 november 2026) 2. CISA, “ED 19-01: Mitigate DNS Infrastructure Tampering (Closed)”, 22 januari 2019. https://www.cisa.gov/news-events/directives/ed-19-01-mitigate-dns-infrastructure-tampering-closed (geraadpleegd op 3 november 2026) 3. MITRE ATT&CK, “Compromise Infrastructure: DNS Server, Sub-technique T1584.002 - Enterprise”. https://attack.mitre.org/techniques/T1584/002/ (geraadpleegd op 3 november 2026) 4. MITRE ATT&CK, “Application Layer Protocol: DNS, Sub-technique T1071.004 - Enterprise”. https://attack.mitre.org/techniques/T1071/004/ (geraadpleegd op 3 november 2026) 5. MITRE ATT&CK, “Dynamic Resolution, Technique T1568 - Enterprise”. https://attack.mitre.org/techniques/T1568/ (geraadpleegd op 3 november 2026) --- Oorspronkelijke bron: Cyberpedia, de openbare encyclopedie over cyberveiligheid en AI van Brain. Canonieke versie: https://startbrain.io/cyberpedia/nl/articles/dns-telefoonboek-internet-kwetsbaarheden/ U mag deze tekst vrij hergebruiken onder de licentie CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), mits u “Brain, Cyberpedia” vermeldt met een link naar bovenstaand adres.