Całe to cuchnie scenariuszem „nie mój problem”, który tak naprawdę nie jest twoją winą i powinien / powinien zostać rozwiązany w 100% przez podjęcie odpowiednich działań, niezależnie od tego, jak „trudne” lub „trudne”, i to kończy twoje otwórz serwer rekurencyjny .
Wycofaj to: powiedz klientom, że ten serwer odchodzi od X dnia. Po tym czasie muszą zainstalować łatkę (zakładając, że ją masz), aby uniemożliwić jej korzystanie z serwera DNS. Robi się to cały czas. Administratorzy, administratorzy sieci, pracownicy działu pomocy technicznej, programiści? My się go; ta rzecz związana z końcem życia zdarza się cały czas, ponieważ jest to standardowa procedura dla dostawcy / usługodawcy / partnera, która mówi nam, abyśmy przestali używać czegoś po dacie X. Nie zawsze nam się to podoba, ale to fakt życia w IT.
Mówisz, że nie masz tego problemu na bieżących urządzeniach, więc zakładam, że rozwiązałeś ten problem za pomocą aktualizacji oprogramowania układowego lub poprawki. Wiem, że powiedziałeś, że nie możesz dotknąć urządzenia, ale na pewno mogą? Chodzi mi o to, że jeśli zezwalają na to, aby te skrzynki zasadniczo dzwoniły do ciebie, nie mogą być aż tak analne, jeśli chodzi o to, kto robi to z ich urządzeniami; możesz mieć odwrotną konfigurację proxy dla wszystkich, którzy wiedzą, więc dlaczego nie mieliby zainstalować łatki, która to naprawia, lub nakazać im korzystanie z własnych serwerów DNS . Z pewnością twoje urządzenie obsługuje DHCP; Nie mogę myśleć o urządzeniu sieciowym (nie ważne ile lat / wątły / nieparzysty) nie ma .
Jeśli nie możesz tego zrobić, następną rzeczą do zrobienia jest kontrolowanie, kto może uzyskać dostęp do twojego serwera rekurencyjnego : mówisz, że „trudno jest powiedzieć”, kto go używa i jak, ale nadszedł czas, aby się upewnić i zacząć ograniczać ruch, który niezgodne z prawem.
To są organizacje „quasi-wojskowe / rządowe”, prawda? Cóż, prawdopodobnie są częścią legalnego bloku sieciowego, którego są właścicielami; urządzenia te nie są routerami domowymi za dynamicznymi adresami IP. Dowiedzieć się. Skontaktuj się z nimi, wyjaśnij problem i zaoszczędź dużo pieniędzy, nie zmuszając do wymiany oprogramowania układowego lub produktu, jeśli tylko mogą potwierdzić adres blokady sieci / adres IP, którego urządzenie będzie używać do uzyskania dostępu do serwera DNS.
Odbywa się to cały czas: mam kilku klientów, którzy w ten sposób ograniczają dostęp do ekstranetu lub słuchaczy HL7 partnerom opieki zdrowotnej; to nie jest takie trudneaby zmusić ich do wypełnienia formularza i podania adresu IP i / lub blokady sieci, powinienem oczekiwać ruchu z: jeśli chcą uzyskać dostęp do ekstranetu, muszą podać adres IP lub podsieć. I rzadko jest to ruchomy cel, więc nie jest tak, że będziesz codziennie zalewany setkami żądań zmiany adresu IP: duże sieci szpitali kampusowych, które posiadają własne bloki sieciowe z setkami podsieci i tysiącami adresów IP hosta rutynowo dają mi garść adresów IP lub podsieci, których powinienem się spodziewać; znowu, nie są to użytkownicy laptopów błąkający się po całym kampusie, więc dlaczego miałbym oczekiwać pakietów źródłowych UDP z ciągle zmieniającego się adresu IP? Oczywiście zakładam, że jestem tutaj założeniem, ale założę się, że nie jest tak dużo, jak myślisz dla <100 urządzeń. Tak, będzie to długa lista ACL i tak,
Jeśli z jakiegoś powodu kanały komunikacji nie są otwarte (lub ktoś zbyt się boi lub nie może mieć trudności z skontaktowaniem się z tymi starszymi właścicielami urządzeń i zrobieniem tego poprawnie), musisz ustalić linię odniesienia normalnego użytkowania / aktywności, abyś mógł sformułować inna strategia, która pomoże (ale nie uniemożliwi) udział w atakach polegających na wzmocnieniu DNS.
Długotrwały tcpdumppowinien działać filtrowanie przychodzącego UDP 53 i pełne logowanie do aplikacji serwera DNS. Chciałbym również zacząć zbierać źródłowe adresy IP / bloki sieciowe / informacje geoIP (czy wszyscy twoi klienci w USA? Blokują wszystko inne), ponieważ, jak mówisz, nie dodajesz żadnych nowych urządzeń, po prostu przekazujesz dziedzictwo obsługa istniejących instalacji.
Pomoże to również zrozumieć, jakie typy rekordów są wymagane i dla jakich domen, przez kogo i jak często : aby wzmocnienie DNS działało zgodnie z przeznaczeniem, osoba atakująca musi mieć możliwość żądania dużego typu rekordu (1) do działająca domena (2).
„duży typ rekordu”: czy twoje urządzenia potrzebują nawet rekordów TXT lub SOA, aby móc je rozwiązać za pomocą rekurencyjnego serwera DNS? Możesz określić, które typy rekordów są prawidłowe na serwerze DNS; Wierzę, że jest to możliwe dzięki BIND i być może Windows DNS, ale trzeba by było trochę kopać. Jeśli Twój serwer DNS odpowiada SERVFAILna dowolne rekordy TXT lub SOA, a przynajmniej ta odpowiedź jest rzędu wielkości (lub dwóch) mniejsza niż zamierzony ładunek. Oczywiście nadal jesteś „częścią problemu”, ponieważ sfałszowana ofiara nadal otrzymywałaby te SERVFAILodpowiedzi z twojego serwera, ale przynajmniej nie hamujesz ich i być może twój serwer DNS zostaje „usunięty” z zebranych list (y) z upływem czasu boty używają do „nie współpracowania”.
„działająca domena”: możesz dodać do białej listy tylko te domeny, które są prawidłowe. Robię to w moich hartowanych konfiguracjach centrum danych, w których serwery potrzebują tylko Windows Update, Symantec itp. Do działania. Jednak łagodzisz tylko szkody, które wyrządzasz w tym momencie: ofiara nadal byłaby bombardowana przez serwer NXDOMAINlub SERVFAILodpowiadałaby na niego, ponieważ serwer nadal reagowałby na fałszywe źródłowe IP. Ponownie skrypt Bot może również automatycznie aktualizować swoją otwartą listę serwerów na podstawie wyników, więc może to spowodować usunięcie twojego serwera.
Użyłbym także pewnego rodzaju ograniczenia prędkości, jak sugerowali inni, albo na poziomie aplikacji (tj. Rozmiar wiadomości, żądania na klienta) albo na poziomie zapory ogniowej (zobacz inne odpowiedzi), ale znowu, masz zamiar musisz przeprowadzić analizę, aby upewnić się, że nie zabijasz legalnego ruchu.
System wykrywania włamań, który został dostrojony i / lub przeszkolony (ponownie, tutaj potrzebny jest poziom podstawowy), powinien również być w stanie wykrywać nienormalny ruch w czasie według źródła lub głośności, ale prawdopodobnie wymagałby regularnej opieki nad dziećmi / strojenia / monitorowania, aby zapobiec fałszywym pozytywom i / lub sprawdź, czy faktycznie zapobiega atakom.
Pod koniec dnia musisz się zastanowić, czy cały ten wysiłek jest tego wart, czy też powinieneś po prostu nalegać, aby zrobić właściwą rzecz, a to przede wszystkim eliminuje problem.