การโจมตี Nonesense ชื่อเป็นกังวลอย่างจริงจังสำหรับผู้ดูแลระบบ Sys
- Category: DDoS
- Author: Admin
- Publisher:
Psychz Networks
- June 05,2015
ถ้าเป็นศูนย์ข้อมูลและผู้ดูแลเซิร์ฟเวอร์ไม่ได้มีมากพอที่จะต้องกังวลเกี่ยวกับเมื่อมันมาถึงการรักษาความปลอดภัยของการติดตั้งของพวกเขาอีกหนึ่งปัญหาที่ร้ายแรงได้โผล่ขึ้นมา มันเป็นประเภทของการโจมตี DDoS ถูกเรียกว่า "ไร้สาระชื่อ" โจมตีและเซิร์ฟเวอร์ส่วนใหญ่มีความเสี่ยงเพราะมันมีเป้าหมายเซิร์ฟเวอร์ชื่อ
มันทำงานอย่างไร
เป้าหมายที่ชัดเจนของการโจมตีไร้สาระชื่อคือการกำหนดเป้าหมายเซิร์ฟเวอร์ชื่อสิทธิ์สำหรับโซน DNS โดยครอบงำพวกเขาด้วยการร้องขอจากเซิร์ฟเวอร์ชื่อเรียกซ้ำ ขั้นตอนการทำงานด้วยวิธีนี้:
- บอท (หรือเครือข่ายของบอท) สร้างเป็นจำนวนมากของโดเมนเรื่องไร้สาระอยู่ในโซนเป้าหมายเพื่อสอบถาม ถ้าการโจมตีจะถูกเปิดตัวกับ domain.zone ตัวอย่างเช่นจะสร้าง abcde.domain.zone, fghij.domain.zone, klmno.domain.zone และอื่น ๆ และจากนั้นส่งคำสั่งสำหรับพวกเขาทั้งหมดไปยังเซิร์ฟเวอร์ชื่อเรียกซ้ำ .
- เซิร์ฟเวอร์ชื่อ recursive จะเป็นงานของพวกเขาส่งแบบสอบถามแต่ละไปยังเซิร์ฟเวอร์ชื่อสิทธิ์สำหรับ domain.zone ซึ่งตามธรรมชาติแล้วแสดงการตอบกลับ NXDOMAIN (หมายถึงชื่อที่มีการสอบถามไม่อยู่) ไปยังเซิร์ฟเวอร์ recursive
- หากคำสั่งให้มาเร็วพอในที่สุดเซิร์ฟเวอร์ชื่อเผด็จการจะหยุดการตอบรับพวกเขา ที่ในการเปิดอุดตันขึ้นเซิร์ฟเวอร์ชื่อเรียกซ้ำทำให้การร้องขอและพวกเขาวิ่งออกมาจากช่องแบบสอบถาม ณ จุดที่เซิร์ฟเวอร์ recursive ก็จะปฏิเสธคำสั่งใหม่ทุกคนแม้กระทั่งคนที่ถูกต้องตามกฎหมาย ผลเซิร์ฟเวอร์จะหยุดสมบูรณ์จากการแก้ไขการร้องขอของลูกค้า
แม้ว่าเป้าหมายคือการตีเซิร์ฟเวอร์ชื่อเผด็จการทั้งหมดของเซิร์ฟเวอร์ชื่อ recursive ที่เกี่ยวข้องกับการตกเป็นเหยื่อเช่นกัน
การจัดการกับเรื่องไร้สาระชื่อโจมตี
ขั้นตอนแรกในการจัดการกับภัยคุกคามใหม่นี้คือการตระหนักถึงสิ่งที่จะมองหา เมื่อเซิร์ฟเวอร์ชื่อ recursive เริ่มต้นการส่งข้อความ "ลูกค้าไม่ recursive มากขึ้น โควต้าถึง "เพื่อ syslog คุณทันทีควรสงสัยว่าการขาดของช่องฟรีแบบสอบถาม recursive เป็นเพราะชื่อเรื่องไร้สาระ ข้อความ syslog จะมีที่อยู่ IP ทำแบบสอบถามดังนั้นหากพวกเขาดูน่าสงสัยคุณได้อย่างรวดเร็วสามารถยกเว้นพวกเขาโดยใช้รายการควบคุมการเข้าถึง
หากคุณไม่แน่ใจเกี่ยวกับ IP ที่สิ่งที่ได้รับความซับซ้อนมากขึ้น วิธีที่ดีที่สุดคือการใช้ RPZ (โซนนโยบายการตอบสนอง) ฟังก์ชั่นในห่วงที่จะบอกชื่อเซิร์ฟเวอร์ที่จะไม่ส่งคำสั่งใด ๆ ที่เกี่ยวข้องกับโซนได้รับผลกระทบ คุณจะตั้งค่ากฎที่มีลักษณะเช่นนี้:
* .domain.zone.the.rpz.zone ใน CNAME
จากนั้นตั้งค่าตัวเลือก QName-รอ recurse ในผูกกับ "no." หลังจากนั้นทุกคนสอบถามโดเมนใน domain.zone โดยอัตโนมัติจะได้รับการตอบสนองจากเซิร์ฟเวอร์ NXDOMAIN recursive และเซิร์ฟเวอร์ชื่อเผด็จการจะไม่ได้มีส่วนร่วมในทุก .
สำหรับเซิร์ฟเวอร์ชื่อเรียกซ้ำซึ่งไม่ได้ทำงานผูก (หรือยังไม่ได้รับการปรับปรุงในการผูก 9.1) เลือกที่ดีที่สุดคือการสร้างที่ว่างเปล่า "จำลอง" โซนเพื่อทดแทนสำหรับ domain.zone จริง ป้ายมันเป็นเซิร์ฟเวอร์ชื่อสิทธิ์สำหรับโซนและคำสั่งใด ๆ แล้วจะได้รับการตอบสนอง NXDOMAIN
ของหลักสูตรเหล่านี้มีทั้งการเปลี่ยนแปลงชั่วคราว การโจมตีครั้งเดียวมีมากกว่าคุณจะต้องตั้งสิ่งที่กลับมาทางที่พวกเขาในการสั่งซื้อสำหรับการแก้ปัญหาโดเมนเพื่อดำเนินการต่อ
ในอนาคตอันใกล้, Internet ระบบ Consortium กำลังวางแผนที่จะปล่อยสองตัวเลือกใหม่สำหรับการกำหนดค่าเซิร์ฟเวอร์ชื่อห่วงซึ่งจะ จำกัด คำสั่งเช่นคนที่สร้างขึ้นโดยการโจมตีไร้สาระชื่อโดยอัตโนมัติ จนแล้วการแก้ไขปัญหาดังกล่าวข้างต้นควร จำกัด เรื่องไร้สาระเซิร์ฟเวอร์ชื่อของคุณอาจจะต้องเผชิญ
