DNS安全的背景及事件分析
DNS的安全問(wèn)題不容忽視!不要讓DNS成為校園網(wǎng)安全的短板!
問(wèn)題DNS服務(wù)攻擊具有以下的特點(diǎn)：利用最少的資源，發(fā)動(dòng)最具破壞力的攻擊、利用最少的攻擊，獲得最大的收益、可以輕易繞過(guò)嚴(yán)密安全防護(hù)。
當(dāng)前，DNS面臨的風(fēng)險(xiǎn)包括：拒絕服務(wù)攻擊、劫持、錯(cuò)誤的配置、軟件漏洞、緩存污染、中間人攻擊、DNS惡意指向。
這些風(fēng)險(xiǎn)中引發(fā)的事件，多數(shù)由于管理環(huán)節(jié)的疏漏，以及DNS配置復(fù)雜性、缺乏一個(gè)有效的快速更新機(jī)制等原因引起的，下面分別舉例說(shuō)明：
Key1拒絕服務(wù)攻擊
攻擊使用大量的請(qǐng)求或是流量湮滅，使得DNS服務(wù)無(wú)法正常提供服務(wù)。
典型案例：
暴風(fēng)影音攻擊事件——蝴蝶效應(yīng)
2009年5月19日晚，由于暴風(fēng)影音的域名出現(xiàn)無(wú)法解析的故障，而用戶端的暴風(fēng)影音軟件持續(xù)發(fā)送大量的DNS解析請(qǐng)求形成了對(duì)DNS遞歸查詢的攻擊，導(dǎo)致多省的網(wǎng)絡(luò)服務(wù)中斷。
事件背景：
DNSPod——免費(fèi)的動(dòng)態(tài)域名解析服務(wù)提供商，擁有ns1.dnspod.net至ns6.dnspod.net六臺(tái)DNS解析服務(wù)器，為30萬(wàn)個(gè)域名提供權(quán)威解析服務(wù)。每天的解析請(qǐng)求達(dá)20億次。
暴風(fēng)影音——國(guó)內(nèi)著名的免費(fèi)媒體播放軟件，擁有1.2億的用戶裝機(jī)量。DNSPod的用戶之一。
事件回放：
1.游戲互斗，導(dǎo)致攻擊DNSPod的服務(wù)器，瞬間的攻擊流量達(dá)10G;
2.電信的IDC為避免影響網(wǎng)絡(luò)，在路由上禁封了DNSpod的IP地址，導(dǎo)致DNSPod無(wú)法提供正常的DNS解析服務(wù);
3.暴風(fēng)影音軟件會(huì)定期自動(dòng)訪問(wèn)自己的主站獲取信息，由于域名無(wú)法解析就持續(xù)發(fā)送解析請(qǐng)求;
4.大量的暴風(fēng)影音用戶持續(xù)發(fā)送域名解析請(qǐng)求導(dǎo)致遞歸解析服務(wù)器的資源耗盡，形成拒絕服務(wù)攻擊;
5.用戶無(wú)法獲得DNS解析服務(wù)，導(dǎo)致網(wǎng)絡(luò)應(yīng)用癱瘓。
事件分析：
1.DNSPod的管理和IDC的責(zé)任心問(wèn)題。
2.暴風(fēng)影音的管理和更新機(jī)制問(wèn)題。
Key2域名劫持
攻擊者通過(guò)各種手段修改權(quán)威服務(wù)器上域名的NS或者A記錄的指向，達(dá)到劫持該域名的目地。
典型案例：
域名劫持事件——社會(huì)工程學(xué)攻擊
2010年1月12日百度域名被劫持，導(dǎo)致多個(gè)地區(qū)在長(zhǎng)達(dá)4小時(shí)內(nèi)無(wú)法正常訪問(wèn)百度，有的地區(qū)在24小時(shí)后才恢復(fù)正常。
事件背景：
Register.com——美國(guó)域名注冊(cè)代理服務(wù)商，提供.com的域名注冊(cè)服務(wù)，你只需提供一個(gè)有效的郵件地址和相應(yīng)的費(fèi)用便可在Register.com上注冊(cè)你想要的域名(前提是該域名還未被別人注冊(cè))，之后你可以隨時(shí)使用該郵箱和設(shè)置的密碼登錄Register.com的網(wǎng)站修改你注冊(cè)域名的ns記錄或A記錄的指向。
百度——國(guó)內(nèi)最大的搜索服務(wù)提供商，baidu.com域名的擁有者，該域名通過(guò)Register.com公司注冊(cè)。
事件回放：
攻擊者冒充百度的代理商聯(lián)系Register.com公司的客服人員(通過(guò)在線聊天軟件)要求修改注冊(cè)時(shí)使用的郵箱。
Register.com公司的客服人員在經(jīng)過(guò)不完善的認(rèn)證后將baidu.com域名的注冊(cè)郵箱改成了[email protected];
使用密碼重置功能獲得baidu.com域名管理帳號(hào)密碼，并登錄系統(tǒng)修改了baidu.com的域名指向;
百度發(fā)現(xiàn)問(wèn)題后無(wú)法用自己的帳號(hào)登錄修改域名指向，只能通過(guò)聯(lián)系Register.com公司的客服來(lái)進(jìn)行處理，由于時(shí)差的關(guān)系聯(lián)系進(jìn)展緩慢，導(dǎo)致問(wèn)題出現(xiàn)4個(gè)多小時(shí)后才得以解決。
事件分析：
1.域名注冊(cè)的管理問(wèn)題：商業(yè)化運(yùn)作，管理混亂，沒(méi)有監(jiān)管機(jī)制;
2.根域名管理權(quán)問(wèn)題：根域名控制在少數(shù)一些國(guó)家手中。