--- id: CP-221 slug: dns-ksiega-telefoniczna-internetu-podatnosci lang: pl title: DNS, książka telefoniczna internetu description: DNS łączy nazwę strony z jej adresem, a nikt tego nie widzi. Dlaczego atakujący go wybierają i co może zrobić pracownik. canonical_url: https://startbrain.io/cyberpedia/pl/articles/dns-ksiega-telefoniczna-internetu-podatnosci/ markdown_url: https://startbrain.io/cyberpedia/pl/articles/dns-ksiega-telefoniczna-internetu-podatnosci.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, „DNS, książka telefoniczna internetu”, Cyberpedia, 2026. https://startbrain.io/cyberpedia/pl/articles/dns-ksiega-telefoniczna-internetu-podatnosci/ (CC BY 4.0) wing: 3 theme: browse_safely reflex: cr-057 schema: G3 updated: "2026-11-03" translations: pl: https://startbrain.io/cyberpedia/pl/articles/dns-ksiega-telefoniczna-internetu-podatnosci/ fr: https://startbrain.io/cyberpedia/fr/articles/dns-annuaire-internet-vulnerabilites/ en: https://startbrain.io/cyberpedia/en/articles/dns-internet-phonebook-vulnerabilities/ de: https://startbrain.io/cyberpedia/de/articles/dns-telefonbuch-internet-schwachstellen/ es: https://startbrain.io/cyberpedia/es/articles/dns-agenda-telefonica-internet-vulnerabilidades/ it: https://startbrain.io/cyberpedia/it/articles/dns-rubrica-internet-vulnerabilita/ nl: https://startbrain.io/cyberpedia/nl/articles/dns-telefoonboek-internet-kwetsbaarheden/ pt: https://startbrain.io/cyberpedia/pt/articles/dns-lista-telefonica-internet-vulnerabilidades/ sources: - "n": 1 title: SP 800-81 Rev. 3, Secure Domain Name System (DNS) Deployment Guide publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/81/r3/final published: "2026-03-19" accessed: "2026-11-03" - "n": 2 title: "ED 19-01: Mitigate DNS Infrastructure Tampering (Closed)" publisher: CISA url: https://www.cisa.gov/news-events/directives/ed-19-01-mitigate-dns-infrastructure-tampering-closed published: "2019-01-22" accessed: "2026-11-03" - "n": 3 title: "Compromise Infrastructure: DNS Server, Sub-technique T1584.002 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1584/002/ accessed: "2026-11-03" - "n": 4 title: "Application Layer Protocol: DNS, Sub-technique T1071.004 - Enterprise" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1071/004/ accessed: "2026-11-03" - "n": 5 title: Dynamic Resolution, Technique T1568 - Enterprise publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1568/ accessed: "2026-11-03" --- # DNS, książka telefoniczna internetu DNS (Domain Name System) to książka telefoniczna, dzięki której przeglądarka lub program pocztowy znajduje usługę kryjącą się za nazwą domeny. NIST opisuje go jako integralną część każdej architektury sieciowej przedsiębiorstwa: atak na DNS firmy zagraża wszystkim jej operacjom sieciowym [1]. Dla pracownika ten etap jest niewidoczny. Adres wyświetlany w przeglądarce może być prawidłowy, a mimo to prowadzić gdzie indziej, jeśli książkę telefoniczną zmieniono. Ta karta wyjaśnia, dlaczego interesują się nią atakujący i co pozostaje do zrobienia użytkownikowi, a resztą zajmują się zespoły techniczne. ## W 30 sekund - Gdzie to się zdarza: przy każdym otwarciu strony lub poczty, bez żadnego widocznego znaku, także na stronie, którą Pan/Pani zna. - Czego chce atakujący: przekierować ruch internetowy i pocztowy na własną infrastrukturę, aby go podglądać, albo ukryć komunikację w ruchu DNS [2][4]. - Odruch: sprawdzić wyświetlany adres, uważać na błędnie napisane nazwy domen, zgłaszać do wsparcia każde nietypowe zachowanie i nigdy samodzielnie nie zmieniać ustawień DNS. - Jeśli już się stało: proszę bezzwłocznie powiadomić wsparcie i podać stronę, godzinę oraz to, co zostało wpisane. ## Pytania wprost ### Co dokładnie robi DNS? Przypisuje nazwie usługi adres. CISA podaje przykład: aby pomóc użytkownikom dotrzeć do usługi poczty lub współpracy, organizacja kieruje nazwę z własnej domeny na domenę swojego dostawcy [2]. Pracownik wpisuje nazwę lub klika ją, a to DNS decyduje, gdzie trafi. ### Dlaczego jest celem? Ponieważ zmiana w odpowiednim miejscu dotyka naraz wszystkich użytkowników domeny. CISA opisuje atakujących, którzy przekierowali i przechwycili ruch internetowy i pocztowy [2]. MITRE zauważa, że przejmując kontrolę nad serwerem DNS, atakujący może modyfikować rekordy DNS i przekierowywać ruch organizacji [3]. ### Czy zobaczę ostrzeżenie, jeśli mój ruch zostanie przekierowany? Niekoniecznie. Według CISA atakujący, który sam ustawia wartości DNS, może uzyskać ważne certyfikaty szyfrowania dla nazw organizacji. Przekierowany ruch można wtedy odszyfrować, a ponieważ certyfikat jest ważny dla domeny, użytkownik nie dostaje żadnego komunikatu o błędzie [2]. ### Czy mogę sam zmienić DNS, żeby być bezpieczniejszym? Nie. DNS firmy podlega kilku rolom technicznym, z których każda ma własne wymagania bezpieczeństwa [1]. Osobiste ustawienie na służbowym komputerze wykracza poza te ramy i może obejść zabezpieczenia przewidziane przez firmę. Jeśli strona wydaje się wolna lub dziwna, decyduje wsparcie. ### Czy DNS może służyć do czegoś więcej niż przekierowania? Tak. MITRE opisuje tunelowanie DNS: polecenia wysyłane do przejętego systemu, a często także ich wyniki, są ukryte w ruchu DNS [4]. Ten protokół jest powszechny w środowiskach i może być dozwolony jeszcze przed zakończeniem uwierzytelniania w sieci [4]. ## Jak to działa Nazwa domeny ma wartość tylko dzięki powiązanym z nią rekordom. CISA wymienia na przykład rekordy adresu (A), serwera pocztowego (MX) i serwera nazw (NS) [2]. Ścieżka ataku opisana przez CISA składa się z trzech kroków. Atakujący przejmuje lub w inny sposób zdobywa dane logowania konta, które może zmieniać rekordy DNS. Następnie zastępuje prawidłowy adres usługi adresem, który kontroluje, co pozwala mu badać lub modyfikować ruch, zanim, jeśli zechce, przekaże go prawdziwej usłudze. Wreszcie może uzyskać ważne certyfikaty, aby odszyfrować ten ruch i odczytać dane wpisywane przez użytkowników [2]. CISA dodaje, że to ryzyko utrzymuje się po zakończeniu okresu przekierowania [2]. MITRE wskazuje inną możliwość: po cichu tworzone poddomeny wskazujące na złośliwe serwery, bez wiedzy właściciela serwera DNS [3]. Ten sam tekst podaje, że znaczna część tej aktywności odbywa się poza zasięgiem wzroku atakowanej organizacji, co utrudnia jej wykrycie [3]. DNS służy też jako kanał poleceń. W technice sygnalizacji DNS polecenia przechodzą w zapytaniach DNS, w rekordach typu TXT lub A. Te sygnały trudno wychwycić, bo rzadko komunikują się z zainfekowanymi urządzeniami, przez co giną w normalnym ruchu [4]. Z kolei dynamiczne rozwiązywanie pozwala szkodliwemu oprogramowaniu zmieniać nazwę domeny, adres IP lub port, których używa [5]. ## Co Pan/Pani robi - Proszę przeczytać wyświetlany adres, zanim wpisze Pan/Pani hasło lub dane. Proszę porównać go litera po literze z adresem, którego Pan/Pani zwykle używa: zbliżona nazwa domeny z literówką prowadzi do innej strony. - Proszę nie polegać na braku alertu przeglądarki. Ważny certyfikat nie dowodzi, że przekierowanie nie nastąpiło [2]. - Proszę otwierać usługi z zakładek lub pod oficjalnym adresem podanym przez firmę, a nie z otrzymanego linku. - Proszę zgłaszać do wsparcia każde nietypowe zachowanie: niespodziewaną stronę logowania, pocztę działającą inaczej, znaną stronę, która wygląda inaczej. - Proszę nie zmieniać ustawień DNS na swoim komputerze ani na biurowym routerze. ## Pułapki Pierwsza pułapka: wiara, że prawidłowy adres wystarczy. W atakach opisanych przez CISA zmieniana jest książka telefoniczna, a nie adres, który wpisuje użytkownik [2]. Druga pułapka: przekonanie, że temat dotyczy tylko informatyków. Atak zaczyna się od danych logowania: CISA zażądała od agencji federalnych amerykańskiej władzy wykonawczej zmiany haseł kont mogących modyfikować DNS i dodania uwierzytelniania wieloskładnikowego [2]. Zaleca czynniki odporne na wyłudzanie danych i odradza uwierzytelnianie przez SMS [2]. Pracownik, który zarządza nazwą domeny lub kontem u dostawcy DNS, jest tym bezpośrednio dotknięty. Trzecia pułapka: zakładanie, że dostawca jest zawsze bezpieczny. MITRE zalicza przejęcie serwerów DNS stron trzecich do technik atakujących, którzy dzięki temu nie muszą budować własnych serwerów [3]. Usługi dynamicznego DNS, takie jak DuckDNS, były używane przez grupę APT-C-36 do przekierowywania ofiar na strony lub repozytoria ze szkodliwym oprogramowaniem [5]. Nieznana nazwa domeny nie jest więc oznaką zaufania, niezależnie od tego, jak wygląda. ## Przypadki z praktyki ### Styczeń 2019: dyrektywa nadzwyczajna CISA 22 stycznia 2019 r. CISA opublikowała dyrektywę nadzwyczajną ED 19-01, „Mitigate DNS Infrastructure Tampering" [2]. Podała w niej, że śledzi serię incydentów manipulacji infrastrukturą DNS i wie, że dotknęły one domen kilku agencji amerykańskiej władzy wykonawczej [2]. Nakazała agencjom cztery działania. Trzy pierwsze, do wykonania w ciągu 10 dni roboczych, to audyt publicznych rekordów DNS, zmiana haseł kont, których sprawa dotyczy, i dodanie uwierzytelniania wieloskładnikowego [2]. W czwartym CISA zaczynała w ciągu 10 dni roboczych dostarczać nowe certyfikaty do dzienników przejrzystości certyfikatów, a agencje miały je monitorować od otrzymania [2]. Tekst CISA podaje obecnie, że uznała cel dyrektywy za osiągnięty i ją zamknęła [2]. ### 2019: kampania Sea Turtle MITRE przypisuje grupie Sea Turtle modyfikowanie rekordów serwerów nazw (NS), aby kierowały na serwery DNS pod jej kontrolą, tak by udzielać odpowiedzi na wszystkie zapytania DNS [3]. Wśród odnośników MITRE jest analiza Cisco Talos z 17 kwietnia 2019 r., „Sea Turtle: DNS Hijacking Abuses Trust In Core Internet Service", a po niej druga z 9 lipca 2019 r. [3]. Źródła cytowane w tej karcie nie podają szczegółów o ofiarach tej kampanii. ## Dla zespołów technicznych Poradnik NIST SP 800-81 Rev. 3, opublikowany w marcu 2026 r., zastępuje wersję z 2013 r. [1]. Zawiera zalecenia wdrożeniowe dotyczące zabezpieczenia protokołu i infrastruktury DNS, ograniczania błędów konfiguracji i dodania warstwy bezpieczeństwa sieci [1]. Wśród jego słów kluczowych są DNSSEC, szyfrowany DNS, ochronny DNS i rejestrowanie zdarzeń DNS [1]. Dyrektywa CISA przypomina także o monitorowaniu wydanych certyfikatów i inwentaryzacji zarządzanych domen [2]. ## Źródła 1. NIST, „SP 800-81 Rev. 3, Secure Domain Name System (DNS) Deployment Guide”, 19 marca 2026. https://csrc.nist.gov/pubs/sp/800/81/r3/final (dostęp 3 listopada 2026) 2. CISA, „ED 19-01: Mitigate DNS Infrastructure Tampering (Closed)”, 22 stycznia 2019. https://www.cisa.gov/news-events/directives/ed-19-01-mitigate-dns-infrastructure-tampering-closed (dostęp 3 listopada 2026) 3. MITRE ATT&CK, „Compromise Infrastructure: DNS Server, Sub-technique T1584.002 - Enterprise”. https://attack.mitre.org/techniques/T1584/002/ (dostęp 3 listopada 2026) 4. MITRE ATT&CK, „Application Layer Protocol: DNS, Sub-technique T1071.004 - Enterprise”. https://attack.mitre.org/techniques/T1071/004/ (dostęp 3 listopada 2026) 5. MITRE ATT&CK, „Dynamic Resolution, Technique T1568 - Enterprise”. https://attack.mitre.org/techniques/T1568/ (dostęp 3 listopada 2026) --- Źródło oryginalne: Cyberpedia, publiczna encyklopedia cyberbezpieczeństwa i AI wydawana przez Brain. Wersja kanoniczna: https://startbrain.io/cyberpedia/pl/articles/dns-ksiega-telefoniczna-internetu-podatnosci/ Możesz swobodnie wykorzystywać ten tekst na licencji CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), pod warunkiem podania „Brain, Cyberpedia” wraz z odnośnikiem do powyższego adresu.