Conosco alcuni antidoti per gli attacchi di avvelenamento della cache DNS, entrambi semplici come randomizzazione delle porte e più complessi come DNSSEC. Ma qual è il più efficace? Quali soluzioni sono realmente implementate nei nameserver oggi?
Grazie per le risposte.
But, which is the more effective?
Affrontano problemi leggermente diversi:
Which solutions are really deployed in the nameservers today?
DNSSec ovunque potrebbe probabilmente rendere obsoleta la randomizzazione delle porte, ma al momento siamo lontani da un'adozione sufficiente. Per il tempo medio abbiamo bisogno di randomizzazione della porta. Ma questa non è una soluzione lato server, ma deve essere eseguita dal client (una cache DNS funziona come client quando si richiede un altro server DNS).
L'avvelenamento da cache si verifica più facilmente quando l'intera infrastruttura utilizza lo stesso set di risolutori ricorsivi. Per mitigare questo rischio, preferisco avere diversi resolver ricorsivi per questi ruoli:
Domande dell'utente finale, navigazione Web: per tutte le workstation, o idealmente WCCP, utilizzare un'infrastruttura DNS dedicata. Per maggiore sicurezza, usa DNSSecurity come OpenDNS
Domande degli utenti finali, ad eccezione della navigazione Web: l'host DNS configurato sulla workstation deve essere isolato dal resto dell'infrastruttura descritto di seguito
Elaborazione e-mail e AntiSPAM - Messaggi di posta elettronica che arrivano per i record SPF e altri controlli DNS che potrebbero causare una query DNS che posiziona la cache. Per questo motivo cerco di separare l'elaborazione della posta elettronica da qualsiasi cosa un utente finale tenti di utilizzare su Internet generale.
DMZ e utilità di analisi dell'intestazione nella DMZ: se la DMZ agisce su dati DNS ottenuti da terze parti non attendibili, allora si dovrebbe presumere che quei server DNS stiano probabilmente cercando di avvelenare il DNS.
IDS, vasi per il miele
Perché è così importante? Immagina che un utente malintenzionato possa forzare una query DNS che si verifica sul server DNS principale semplicemente inviando un'email, connettendosi a un determinato server DNS o immettendo dati in un modulo HTML. Dato che un resolver ricorsivo interrogherà tutti i server DNS come necessario per soddisfare la richiesta, è possibile inquinare una voce cache per gli utenti di workstation ben comportati con quella query dell'infrastruttura summenzionata.
Leggi altre domande sui tag dns