Saldırı Yüzeyi Olarak DNS

Kavram

Kontrolünüzdeki altyapı üzerinde açık bir çözümleyici, üçüncü bir tarafa karşı reflection/amplification DDoS saldırısında fark edilmeden silahlandırılabilir — istemeden bir katılımcı olursunuz ve bu tamamen tek bir yapılandırma kontrolüyle önlenebilir.

Yaygın Yanlış Anlama

"Bu yetkili bir sunucu olduğu için açık özyineleme sorun değil." Yanlış: hem yetkili hem de rastgele isteklerden gelen özyinelemeli sorgulara yanıt veren bir sunucu, tam olarak amplifikasyon için kullanılan açık çözümleyicidir. Yetkili rol ile özyineleme kesinlikle ayrılmalıdır.

Uygulamalı Alıştırma

Temel kontrol için laboratuvar ortamı zorunlu değil:

• NODA (noda.marinadns.io) — Open Recursor Check (CAT-SEC) sunucunuzun dışarıdan gelen özyinelemeli sorgulara yanıt verip vermediğini otomatik belirler.

Gerçek bir dış noktadan (localhost değil) test etme ve yanıt boyutunu amplifikasyon faktörü olarak kontrol etme alıştırması için bkz. Laboratuvar Ortamı sayfasındaki Ders 7.

Çalıştırılacak Komutlar

# SİZİN ad sunucunuzun rastgele isteklerden gelen özyinelemeli sorgulara yanıt verip vermediğini test edin (yetkili-only bir sunucu için VERMEMELİ)
dig @your-lab-box-ip google.com A         # sunucunun kendisi DIŞINDA bir makineden

# Yetkili-only bir sunucuda özyinelemenin kapalı olduğunu doğrulayın (BIND örneği)
grep -i recursion /etc/bind/named.conf.options    # "recursion no;" göstermeli

# Domaininizin ANY sorguları yoluyla bir yansıma amplifikatörü olarak kullanılmaya açık olmadığını kontrol edin
dig yourdomain.com ANY @ns1.yourdnsprovider.com +norecurse

# Temel yanıt boyutu kontrolü — daha büyük yanıtlar = kötüye kullanılırsa daha büyük amplifikasyon faktörü
dig yourdomain.com ANY +norecurse | wc -c