Tag Vuln.open_recursor

Kurzinfo

Rechner, die offene Resolver (open recursor) sind und für DNS Amplifizierung (amplification) missbraucht werden um ein fremdes Ziel zu attackieren.

Treffsicherheit

Beschreibung

Offene Resolver sind meistens auf mangelnde Konfiguration zurückzuführen. Missbraucht wird die DNS Amplifizierung und die Möglichkeit von UDP spoofing. Der DNS Resolver kann an Hand von der UDP-DNS-Anfrage nicht erkennen ob es sich um eine eine gespoofte IP Adresse handelt und schickt eine große DNS-Antwort an das zu attackierende Ziel.

Gegenmaßnahmen bei Resolvern:

Nur die eigenen Netze resolven lassen und Monitoring des Resolvers.

Bind:

acl ournetacl ournets { 131.130/16; 2001:62a::/31; };
options {
	allow-recursion { ournets; };
};

Unbound:

server:     
       access-control: 131.130.0.0/16 allow
       access-control: 2001:62a::/31 allow

dnsmasq:

Bei dnsmasq kennt das Konzept von ACLs nicht. Hier empfiehlt es sich, den Prozess nur auf localhost zu binden.

listen-address=127.0.0.1

Microsoft DNS Server:

Bei Microsoft DNS Server kann keine ACLs. Ab Windwos Server 2008 R2 kann das Resolven abgestellt werden Microsoft Technet

. Hier empfiehlt es sich, das Service mit einer Firewall von außen abzuschotten.

Gegenmaßnahmen bei auth. Nameservern:

Konfiguration Bind, NSD und Knot DNS mit Response Rate Limiting (RRL)

Generelle Gegenmaßnahmen:

Umsetztung von BCP38

Links

https://www.us-cert.gov/ncas/alerts/TA13-088A
https://www.team-cymru.org/Services/Resolvers/instructions.html
http://technet.microsoft.com/en-us/library/cc787602.aspx
http://technet.microsoft.com/en-us/library/cc754941.aspx
http://technet.microsoft.com/en-us/library/cc771738.aspx
http://www.redbarn.org/dns/ratelimits
http://tools.ietf.org/html/bcp38

Tag Vuln.open_recursor

Kurzinfo

Rechner, die offene Resolver (open recursor) sind und für DNS Amplifizierung (amplification) missbraucht werden um ein fremdes Ziel zu attackieren.

Treffsicherheit

Beschreibung

Offene Resolver sind meistens auf mangelnde Konfiguration zurückzuführen. Missbraucht wird die DNS Amplifizierung und die Möglichkeit von UDP spoofing. Der DNS Resolver kann an Hand von der UDP-DNS-Anfrage nicht erkennen ob es sich um eine eine gespoofte IP Adresse handelt und schickt eine große DNS-Antwort an das zu attackierende Ziel.

Gegenmaßnahmen bei Resolvern:

Nur die eigenen Netze resolven lassen und Monitoring des Resolvers.

Bind:

acl ournetacl ournets { 131.130/16; 2001:62a::/31; };
options {
	allow-recursion { ournets; };
};

Unbound:

server:     
       access-control: 131.130.0.0/16 allow
       access-control: 2001:62a::/31 allow

dnsmasq:

Bei dnsmasq kennt das Konzept von ACLs nicht. Hier empfiehlt es sich, den Prozess nur auf localhost zu binden.

listen-address=127.0.0.1

Microsoft DNS Server:

Bei Microsoft DNS Server kann keine ACLs. Für Windwos Server 2008 R2 kann das Resolven abgestellt werden Microsoft Technet. Ab Windows Server 2003 kann das Resolven auch abgestellt werden Microsoft Technet. Generell empfiehlt Mircosoft, das Service mit einer Firewall von außen abzuschotten und einen Forwarder zu verwenden Microsoft Technet

Gegenmaßnahmen bei auth. Nameservern:

Konfiguration Bind, NSD und Knot DNS mit Response Rate Limiting (RRL)

Generelle Gegenmaßnahmen:

Umsetztung von BCP38

Links

https://www.us-cert.gov/ncas/alerts/TA13-088A
https://www.team-cymru.org/Services/Resolvers/instructions.html
http://www.redbarn.org/dns/ratelimits

http://tools.ietf.org/html/bcp38
http://technet.microsoft.com/en-us/library/cc787602.aspx
http://technet.microsoft.com/en-us/library/cc754941.aspx
http://technet.microsoft.com/en-us/library/cc771738.aspx

Erfahrungen