ibm—中國移動dns服務(wù)器安全配置手冊-全文預(yù)覽

　　

【正文】 amed_program=/chroot/bind/usr/sbin/named named_flags=u bind g bind t /chroot/bind 　　注：如果在其它系統(tǒng)平臺，如OpenBSD、Linux、Solaris，則可能會稍有不同。 killall syslogd named 用適當(dāng)?shù)膮?shù)重新啟動syslogd守護(hù)進(jìn)程。記住，以chroot環(huán)境中使用任何已存在的UID/GID都可能會影響到服務(wù)的安全性。如果該目錄為root所有則named進(jìn)程無法將輸出寫到目錄中，但不會影響named服務(wù)器功能。） 在/etc/passwd和/etc/group文件中添加bind用戶和組。在這里我使用/chroot/bind作為chroot后的根目錄。它在chroot()環(huán) 境中無需任何靜態(tài)鏈接庫，可使服務(wù)配置簡單化。在下面的步驟中 將會把這些文件復(fù)制到chroot()目錄下。CDEBUG= O2 g39。 增強(qiáng)系統(tǒng)的安全 操作方法以FreeBSD系統(tǒng)平臺為例：步驟一：BIND8的最新源代碼版本獲取和安裝 請到ISC FTP站點(diǎn)下載BIND的最新版本。一般的目錄結(jié)構(gòu)是： 一般的目錄結(jié)構(gòu)/ /bin /sbin /usr/bin /home CHROOT的目錄結(jié)構(gòu)： Chroot的目錄結(jié)構(gòu)/bind/ /bind/bin /bind/usr/bin /bind/home l CHROOT的優(yōu)點(diǎn)限制使用者所能執(zhí)行的程序，如setuid程序。 、 實(shí)現(xiàn)BIND的chroot chroot虛擬根環(huán)境l CHROOT虛擬根環(huán)境CHROOT就是Change Root，即虛擬根環(huán)境，也就是改變程序執(zhí)行時所參考的根目錄位置。 }。 }。 }。 }。 }。 }。 　　然后將這兩個密鑰文件復(fù)制到客戶端系統(tǒng)（或輔助域名服務(wù)器），例如為/var /named/tsig目錄。 }。注意這些密鑰都已經(jīng)過BASE64編碼了。Ktsigkey.+157+39。（注意，TSIG的使用要求域名服務(wù)器必須進(jìn)行時鐘同步。、 通過TSIG對區(qū)域記錄傳輸進(jìn)行認(rèn)證和校驗(yàn) 對區(qū)域傳輸進(jìn)行認(rèn)證和校驗(yàn)可以降低DNS服務(wù)器遭受區(qū)域傳輸攻擊的風(fēng)險。 controls節(jié)提供管理接口。、控制管理接口BIND域名服務(wù)器的一個有用功能 l 操作方法 控制管理接口controls節(jié)語法格式： controls { [ inet ip_addr port ip_port allow { address_match_list。 acl partner { !。 操作結(jié)果 不同用戶可根據(jù)實(shí)際情況靈活設(shè)置，但一定要注意不當(dāng)?shù)脑O(shè)置會損失DNS服務(wù)的性能。）限制增量區(qū)域記錄傳輸時會話日志的大小。缺省為 // unlimited（不限制）。 // 服務(wù)器所使用的最大數(shù)據(jù)段內(nèi)存。 coresize size_spec 。 address_match_list是不接受區(qū)域記錄傳輸請求的主機(jī)IP列表，如。 address_match_list是允許進(jìn)行區(qū)域記錄傳輸?shù)闹鳈C(jī)IP列表，如。 。 。 。（缺省值為nol 操作結(jié)果服務(wù)器將跟蹤其出站查詢ID值以避免出現(xiàn)重復(fù)，并增加隨機(jī)性。操作結(jié)果防止了DNS域名的遞歸查詢。 // version 。缺省（省略）時是沒有大小限制的。 default_debug。 severity info。u user_name和g group_name：定義域名服務(wù)器運(yùn)行時所使用的UID和GID。對于Windows系統(tǒng)來說，應(yīng)該及時安裝Windows系統(tǒng)關(guān)鍵安全更新補(bǔ)丁，防止利用Windows操作系統(tǒng)漏洞而造成的攻擊。3 安全配置DNS守護(hù)進(jìn)程 加固操作系統(tǒng)安裝任何守護(hù)進(jìn)程之前，安全可靠的操作系統(tǒng)應(yīng)該是一個先決條件。采用這種技術(shù)可以有效地防止信息泄漏。當(dāng)內(nèi)部要查詢Internet上的域名時。 應(yīng)用Bogon過濾攔截?zé)o效和無用的Internet IP地址，可以減少DoS攻擊時的網(wǎng)絡(luò)負(fù)擔(dān)，有助于通知網(wǎng)管關(guān)注網(wǎng)絡(luò)問題。 防御緩沖區(qū)溢出許多工具可以防止未授權(quán)溢出。 防御緩存破壞緩存破壞很容易防御。如果區(qū)域傳輸被禁止，攻擊者將接收到傳輸失敗的消息。為了盡量減少暴露的漏洞，除了打開有數(shù)據(jù)進(jìn)出的授權(quán)服務(wù)器的UDP端口53外，所有的端口都應(yīng)該禁止Internet訪問。通過中間人進(jìn)行的DNS查詢欺騙完全可以被攻擊者控制。 其他攻擊技術(shù)如果攻擊者可以嗅探網(wǎng)絡(luò)流量，后果將是不可預(yù)料的。在這些數(shù)據(jù)的生存期TTL內(nèi)，A又可能會把它們發(fā)送給別的服務(wù)器，導(dǎo)致更多的服務(wù)器緩存中毒。在這個過程中，由于服務(wù)器不停頓地處理攻擊者的SYN包，從而正常用戶發(fā)送的SYN包會被丟棄，得不到處理，從而造成了服務(wù)器的拒絕服務(wù)。SYN Flood攻擊就是攻擊者利用偽造的IP地址，連續(xù)向被攻擊的服務(wù)器發(fā)送大量的SYN包。軟件版本信息很少被用到，應(yīng)該被改變或清空。區(qū)域傳輸一般用于主DNS服務(wù)器和輔DNS服務(wù)器之間的數(shù)據(jù)同步，DNS服務(wù)器可以從主服務(wù)器獲取最新區(qū)數(shù)據(jù)文件的副本，也就可以獲得整個授權(quán)區(qū)域內(nèi)的所有主機(jī)信息。 區(qū)域傳輸進(jìn)行區(qū)域傳輸攻擊DNS的方法是執(zhí)行無限制的區(qū)域傳輸或捏造許可證，造成的后果是主管的域名信息泄露。利用版本發(fā)現(xiàn)攻擊DNS的方法是查詢版本文件，造成的后果是軟件版本泄密。DoS攻擊是網(wǎng)絡(luò)上一種簡單但很有效的破壞性攻擊手段，其中SYN Flood攻擊是最為常見的DoS攻擊方式。當(dāng)服務(wù)器因超時而丟棄這個包后，攻擊者虛假的SYN包又源源不斷地補(bǔ)充過來。這樣使得攻擊者可以通過在B中存放一些錯誤的數(shù)據(jù)，讓A把這些錯誤的數(shù)據(jù)存放在緩存中。授權(quán)DNS服務(wù)器可以和Internet的任何系統(tǒng)交互，所以DNS已經(jīng)成為緩沖區(qū)溢出漏洞最普遍的受害者。對于一次惡意攻擊來說，攻擊一臺DNS就像逆向工作。限制訪問可以阻止未授權(quán)用戶使用服務(wù)器，從而有可能阻止查看漏洞級別的行為。在DNS守護(hù)進(jìn)程外部，通過加密通道進(jìn)行區(qū)域文件同步，可以很好地分離守護(hù)進(jìn)程操作和數(shù)據(jù)同步操作。防御DoS攻擊的最好方法是采用事故反應(yīng)計(jì)劃和IDS傳感器數(shù)據(jù)。大多數(shù)最新的守護(hù)進(jìn)程已經(jīng)有了針對緩存破壞的補(bǔ)丁。一個安全的操作系統(tǒng)和守護(hù)進(jìn)程是減少緩沖區(qū)溢出的最好的工具。 Split DNS 采用Split DNS技術(shù)把DNS系統(tǒng)劃分為內(nèi)部和外部兩部分，外部DNS系統(tǒng)位于公共服務(wù)區(qū)，負(fù)責(zé)正常對外解析工作：內(nèi)部DNS系統(tǒng)則專門負(fù)責(zé)解析內(nèi)部網(wǎng)絡(luò)的主機(jī)。而且只有內(nèi)外DNS服務(wù)器之間才交換DNS查詢信息，從而保證了系統(tǒng)的安全性。同時，當(dāng)前主流的防火墻如CheckPoint和Netcreen等都有防DNS欺騙的功能，即使其他非DN