Zabezpieczenie serwera dns

[mmmm21 98]

Chcialem prouszyc kwestie ataku ddos na serwery Spamhaus. Zostala do tego wykorzystana metoda amplifikacji dns ( http://blog.cloudflare.com/deep-inside-a-dns-amplification-ddos-attack ). Na ponizszej stronie mozemy sprawdzic x.x.x.x/24 czy w naszej podsieci sa serwery dns odpowiadajace wszystkim bez ograniczen na zapytania czyli tzw open dns resolver.

 

http://openresolverproject.org/

 

Mozemy takze zapoznac sie z metodami obrony: IETF BCP 38 (http://tools.ietf.org/html/bcp38) lub tez poprawka dla binda limitujaca ilosc odpowiedzi http://www.redbarn.org/dns/ratelimits

 

Najlepszym rozwiazaniem jest poprawienie konfiguracji bind:

 

// Disable recursion for the DNS service
//
options {
    recursion no;
};

// Permit DNS queries for DNS messages with source addresses
// in the 192.168.1.0/24 netblock. The 'allow-query-cache'
// options configuration can also be used to limit the IP
// addresses permitted to obtain answers from the cache of
// the DNS server. Substitute with your own network range.
//
options {
    allow-query {192.168.1.0/24;};
};

Wylaczamy opcje rekurencyjnosci binda lub tez ograniczamy ja dla okreslonej podsieci, w ktorej ta opcja ma dzialac.

 

Tym, ktorzy posiadaja wlasne serwery dns, polecam sprawdzic, czy sa one zabezpieczone na powyzszy atak.