Siete problemas principales con la implementación de seguridad del servidor DNS

DNS (Sistema de nombres de dominio) es un método establecido hace mucho tiempo. Puede asignar un nombre de dominio a una computadora con una dirección IP, por lo que la computadora tiene un nombre de carácter. Por ejemplo, una computadora con una dirección IP de 207.46.193.254 es un servidor de Microsoft www. .microsoft.com. El DNS está bien diseñado y funciona bien la mayor parte del tiempo. Sin embargo, siempre hay algunas situaciones insatisfactorias, se producirá y los administradores tienen un dolor de cabeza. Entonces, ¿cómo encuentras las pistas de su culpa? ¿Cuáles son los lugares insatisfactorios en su sistema DNS?

¿Hay alguna regularidad que pueda seguirse? La respuesta es sí, estamos aquí para comentar los siete pecados principales del servidor DNS para su referencia:

1. Utilice la versión antigua de BIND.

Bind es un software de servidor DNS de código abierto y es el software de servidor DNS más utilizado en el mundo. Casi las versiones anteriores de BIND tienen vulnerabilidades graves y bien conocidas. Los atacantes pueden explotar estas vulnerabilidades para piratear nuestros servidores de nombres de dominio DNS y usarlos para comprometer los hosts que los ejecutan. Por lo tanto, asegúrese de usar el último BIND y parchelo a tiempo.

2. Coloque todos los servidores de nombres de dominio importantes en la misma subred.

En este caso, una falla del dispositivo, como un interruptor o enrutador, o una falla en la conexión de la red puede hacer que los usuarios en Internet no puedan acceder a su sitio web o enviarle un correo electrónico.

3. Permitir la recursión de consultantes no autorizados.

Si este es el caso:

(recursion yes no; [yes] allow-recursion {address_match_list}; [todos los hosts]

no es seguro Aquí, la opción de recursión especifica si el nombre se usa en lugar del cliente para consultar otros servidores de nombres de dominio. Por lo general, el servidor de nombres de dominio no está configurado para cerrar la recursión. Al menos debemos permitir la recursión para su propio cliente, pero la consulta externa prohíbe la recursión, porque si es arbitraria Un cliente que procesa consultas recursivas expondrá el servidor de nombres de dominio a ataques de envenenamiento de caché y denegación de servicio.

4. Permitir que los servidores de nombres de dominio secundarios sin licencia realicen transferencias de zona.

La transferencia de zona se refiere al proceso de copiar un archivo de base de datos de zona entre múltiples servidores DNS. Si se proporciona un servicio de transferencia de zona para cualquier usuario, el servidor de nombres de dominio estará expuesto al atacante, lo que provocará que el servidor se bloquee.

5. No se utilizan reenviadores de DNS.

Los reenviadores de DNS son servidores que realizan consultas de DNS en nombre de otros servicios de DNS. Muchos software de servidor de nombres de dominio, incluido el micro Sin embargo, muchos administradores permiten estos servidores de nombres de dominio. Los servidores DNS y algunos servidores de nombres de dominio BIND más antiguos no se protegen adecuadamente contra el envenenamiento de la memoria caché. Consulte directamente a otros servidores de nombres de dominio en Internet y no utilice reenviadores.

6. Establezca incorrectamente el valor de Inicio de autoridad (SOA).

El comienzo de los datos del área de la etiqueta SOA, Defina los parámetros que afectan a toda la zona. Muchos administradores establecen el valor de la zona demasiado bajo, lo que hará que el sistema se rompa cuando la consulta de actualización o la transferencia de zona falla. Dado que el RFC redefine la SOA, todavía hay algunas personas. El TTL de almacenamiento en caché inverso se restablece, lo que a su vez da como resultado un valor demasiado alto. --- http: //www.bianceng.cn

7. Autorización y registros NS no coincidentes en los datos de la zona

Algunos administradores han agregado o eliminado el servidor de nombres primario, pero se olvidaron de cambiar los datos de autorización de delegación (los llamados datos de delegación) de su región. Esto ampliará el dominio analítico. Tiempo, y se reducirá la flexibilidad.

Por supuesto, estos son sólo algunos de los administrador general puede tener errores cometidos, pero puede servir como referencia básica de configurar los servidores DNS.