Onderwerp: Driekwart bedrijfsnetwerken kwetsbaar voor DNS-aanval

Ruim driekwart van alle zakelijke netwerken is kwetsbaar voor een DNS pharming aanval. Dat blijkt uit onderzoek van The Measurement Factory in samenwerking met Infoblox. Het onderzoek vond plaats onder ruim 1,4 miljoen DNS-servers (Domain Name System) wereldwijd. Het bestond uit een aantal vragen die nauwkeurig ontworpen waren om vast te stellen wat de relatieve kwetsbaarheid is van elke DNS-server. Van de Internet name-servers is 84 procent kwetsbaar voor een pharming-aanval. Andere machines vertonen ook beveiligings- en installatiegerelateerde kwetsbaarheden.

Het meeste verrassende resultaat van het onderzoek is volgens The Measurement Factory het feit dat 75 tot 84 procent van de DNS-servers recursieve naamdiensten leveren aan willekeurige verzoeken op internet. Dit is een vorm van naamsbepaling die een name-server kan eisen om verzoeken om te leiden naar een andere name-server. Volgens The Measurement Factory moet deze dienst uitsluitend werken voor een beperkte lijst van bekende, vertrouwde aanvragers.

Bron: Computable

neem in bind op tussen options { }

allow-recursion { 127.0.0.1; ip2; ip3; };

Dan start me nameserver niet meer op

De meeste mensen zullen BIND gebruiken, en volgens mij zijn recente versies daarvan toch echt wel "veilig" voor deze vorm van gebruik. Tenzij de auteurs iets weten wat wij niet weten, maar dan houden ze die kennis wel goed uit het artikel

Natuurlijk is het wel good practice om recursie voor willekeurige IP's te blokkeren.

Edit: Heb ff gegoogled. Het resultaat zelf is hier te vinden: http://dns.measurement-factory.com/surveys/sum1.html

Following is a summary of the significant survey results:

* There are an estimated 7.5 million external DNS servers on the public Internet
* Over 75% domain name servers (of roughly 1.3 million sampled) allow recursive name service to arbitrary queriers. This opens a name server to both cache poisoning and denial of service attacks.
* Over 40% allow zone transfers from arbitrary queriers. This exposes a name server to denial of service attacks and gives attackers information about internal networks.
* In almost 33% of the cases, all authoritative name servers for a zone were on the /24 same subnetwork. This leaves network open to accidental and deliberate denial of service attacks.
* Only 60% of the name server records delegating each zone matched the intrazone name server records . Mis-matched records may decrease the number of servers available for resolution, reduce redundancy, increase load, and leave a zone susceptible to denial of service attacks.
* 57% run the most recent, secure versions of BIND (9.x):
BIND 9.3, 9.2, 9.1 57%
BIND 8.3, 8.2, 8.1 20%
Windows 2000 6.5%
Windows 2003 3.5%
Other 13%

Weinig wereldschokkends allemaal. Het probleem van de open recursieve servers zit dus blijkbaar toch in "cache poisoning", maar dat is in recente versies niet meer zo heel realistisch. Natuurlijk kan er gespooft/geforged worden, maar dat kan ook bij een niet-open server. Enige oplossing daarvoor is crypto (DNSSEC). Het denial-of-service gevaar bestaat net zogoed wanneer je op je nameserver een ACL aanmaakt dus dat vind ik een kul argument.

Ik ben het ook niet eens met het gemiep over "arbitrary queries". Ze bedoelen waarschijnlijk AXFR transfers en zo. Het zou geen risico moeten zijn om een zonetransfer te kunnen doen. Ook zonder je hostnames te weten kan men gewoon je IP-ruimte scannen. Met DNSSEC gaan we in de toekomst naar een situatie waarbij iedereen sowieso alle hosts in een domein kan aftellen, dus blijkbaar wordt dat niet als een belangrijk probleem geacht.

Nameservers in dezelfde /24: ach ja, enkele registers maken hier een probleem van, maar waarom? Ik vind het een slechte praktijk om alle nameservers in een /24 te zetten, maar who cares? Moeten we iedere domeinhouder dan maar verplichten om extra secondaries te nemen en extra kosten te maken? Als ze slecht bereikbaar willen zijn moeten ze dat toch weten. Of gaan we ook eisen dat ze goede providers nemen die nooit down zijn. Kom maar door dan.

Mismatches in NS records etc zijn natuurlijk wel slecht, maar geen security probleem. Dat is gewoon een configuratiefout. En het leuke van DNS is dat het daar heel aardig mee werkt, zodat niemand merkt dat 't fout zit. Tsja, daar kan ik me dan ook niet druk om maken

Kortom, geconcludeerd kan worden:
- Dat ik een slecht humeur heb
- Dat ik veel teveel te doen heb waardoor ik weer eens ernstig werk/studie ontwijkend gedrag vertoon

Yeah, net nog binnen de 30 minuten ge-edit!
Koning!

heel goed en nu aan de studie!

Origineel geplaatst door WH-Tim
Dan start me nameserver niet meer op

toch hoort het zo

http://www.netadmintools.com/art234.html

Je kan ook kiezen om in iptables een max packetrate te verkiezen.

Origineel geplaatst door Mikey


toch hoort het zo

http://www.netadmintools.com/art234.html

Klopt, lezen is af en toe moeilijk voor mij

Werkt

*En binnen twee minuten tijd snapte ik ook wat voor nut het heeft, direct dus even een lijst met ipnummers erin verwerken *

Origineel geplaatst door WH-Tim


Klopt, lezen is af en toe moeilijk voor mij

Werkt

*En binnen twee minuten tijd snapte ik ook wat voor nut het heeft, direct dus even een lijst met ipnummers erin verwerken *

Hahaha