Neuradni T-2 forum

V zadnjem času opažamo porast t.i. DNS DDoS ojačitvenih (amplification) napadov, pri katerem se za napadanje tujih sistemov izrablja odprte rekurzivne DNS strežnike in pomanjkljivost protokola UDP. Napade smo zaznali na nekaterih tipih usmerjevalnikov s 'po meri' nameščeno programsko opremo (OpenWRT, pfsense, ...), s programsko opremo Dnsmasq, kot tudi na nezaščitenih ISC BIND ter Unbound DNS strežnikih.

Tako lahko tuji sistemi, ki imajo možnost pošiljati omrežne paketke pod potvorjenimi IP naslovi (t.i. IP spoofing), pošiljajo DNS zahtevke na odprte rekurzivne strežnike z IP naslovom napadenega sistema.

Odprti rekurzivni strežnik, zaradi pomanjkljivosti protokola UDP, na prejeto zahtevo odgovori na nepravi potvorjen IP naslov, t.j. IP naslov napadenega sistema. Ker je odgovor DNS strežnika večji od vprašanja govorimo v tem primeru o ojačitvenem napadu, t.i. DNS amplification attack.

Vse naročnike, ki imajo rekurzivni DNS strežnik (bodisi kot lasten servis ali del usmerjevalnika) pozivamo, da onemogočijo funkcijo rekurzivnega DNS ali jo omejijo na zaprt/omejen nabor IP naslovov (ponavadi gre za lokalno omrežje).

NoName napisal/-a:dobro vprašanje.. vse je odvisno od politike požarnega zidu. zalaufaj kako konzolco pa z iptables (ali morda iptables-save) počekiraj, kaj kišta naredi s paketi z zunanje mreže, ki se pošiljajo na udp dst port 53.

NoName napisal/-a:za hec sem zalaufal tale grc-ov shields up na svojem IP naslovu in mimogrede laufal tcpdump... kot kaže, shields up preverja odprtost TCP vrat (in ne UDP)... Pri TCP je čisto druga zgodba, ki nima takšnih pomankljivosti kot jih ima UDP, in skorajda onemogoča uporabo IP spoofinga. TCP namreč pozna eno reč, ki sliši na ime three way handshake - najprej odjemalec na strežnik pošlje paket s SYN zastavico, na katerega strežnik odgovori s SYN/ACK, nato pa odjemalec pošlje ACK; nato je zveza 'vzpostavljena', potem se pa lahko oba začneta pogovarjati z neko uporabno vsebino, bodisi zahtevek za spletno stran, prijava v elektronsko pošto, ... kakorkoli... za vsak paketek se potem pošlje ACK.

Kakorkoli že... sm seštrikal eno spletno stran, ki preveri morebitno delovanje caching DNS serverja na IPju, od koder prihaja zahtevek za spletno stran. klik tukaj

To disable recursion on the DNS server using the Windows interface

Open DNS Manager.

In the console tree, right-click the applicable DNS server, then click Properties.

Where?

DNS/applicable DNS server

Click the Advanced tab.

In Server options, select the Disable recursion check box, and then click OK.

Additional considerations

To open DNS Manager, click Start, point to Administrative Tools, and then click DNS.

If you disable recursion on the DNS server, you will not be able to use forwarders on the same server.

To disable recursion on the DNS server using a command line

Open a command prompt.

Type the following command, and then press ENTER:

dnscmd <ServerName> /Config /NoRecursion {1|0}