ibm—中國(guó)移動(dòng)dns服務(wù)器安全配置手冊(cè)-文庫(kù)吧資料
2025-07-05 07:56本頁(yè)面
【正文】 sigkey.則會(huì)生成兩個(gè)文件。（注意，TSIG的使用要求域名服務(wù)器必須進(jìn)行時(shí)鐘同步。 在BIND +中，能夠使用事務(wù)簽名（Transaction Signatures，即TSIG！） 來對(duì)區(qū)域記錄數(shù)據(jù)進(jìn)行驗(yàn)證和校驗(yàn)。、 通過TSIG對(duì)區(qū)域記錄傳輸進(jìn)行認(rèn)證和校驗(yàn) 對(duì)區(qū)域傳輸進(jìn)行認(rèn)證和校驗(yàn)可以降低DNS服務(wù)器遭受區(qū)域傳輸攻擊的風(fēng)險(xiǎn)。如果使用第二種(unix)，則產(chǎn)生一個(gè)FIFO的控制管道，權(quán)限、屬主和用戶組都由其參數(shù)限定。 controls節(jié)提供管理接口。 ] [ unix path_name perm number owner number group number。、控制管理接口BIND域名服務(wù)器的一個(gè)有用功能 l 操作方法 控制管理接口controls節(jié)語(yǔ)法格式： controls { [ inet ip_addr port ip_port allow { address_match_list。 // }。 acl partner { !。注意，如果要使用這里定義的列表名，必須先定義，后使用！ 例如： acl intranet { 。 操作結(jié)果 不同用戶可根據(jù)實(shí)際情況靈活設(shè)置，但一定要注意不當(dāng)?shù)脑O(shè)置會(huì)損失DNS服務(wù)的性能。 // 服務(wù)器所使用的最大堆棧段內(nèi)存。）限制增量區(qū)域記錄傳輸時(shí)會(huì)話日志的大小。） maxixfrlogsize size_spec 。缺省為 // unlimited（不限制）。 files size_spec 。 // 服務(wù)器所使用的最大數(shù)據(jù)段內(nèi)存。缺省為default。 coresize size_spec 。 l 操作結(jié)果不允許特定的主機(jī) 進(jìn)行區(qū)域傳輸，降低了受區(qū)域傳輸攻擊的風(fēng)險(xiǎn)。 address_match_list是不接受區(qū)域記錄傳輸請(qǐng)求的主機(jī)IP列表，如。l 操作結(jié)果只有特定的主機(jī)可以進(jìn)行區(qū)域傳輸，降低了受區(qū)域傳輸攻擊的風(fēng)險(xiǎn)。 address_match_list是允許進(jìn)行區(qū)域記錄傳輸?shù)闹鳈C(jī)IP列表，如。操作結(jié)果 缺省時(shí)為拒絕所有主機(jī)的提交，完成操作后只有指定的主機(jī)可以提交動(dòng)態(tài)DNS更新。 。 、 指定允許哪些主機(jī)向本DNS服務(wù)器提交動(dòng)態(tài)DNS更新操作方法：在options（或特定的zone區(qū)域）節(jié)中增加： allowupdate { address_match_list }。 。 、 限制對(duì)DNS服務(wù)器進(jìn)行域名遞歸查詢的主機(jī)操作方法在options（或特定的zone區(qū)域）節(jié)中增加： allowrecursion { address_match_list }。 。） 、 限制對(duì)DNS服務(wù)器進(jìn)行域名查詢的主機(jī)操作方法在options（或特定的zone區(qū)域）節(jié)中增加： allowquery { address_match_list }。（缺省值為nol 操作結(jié)果服務(wù)器將跟蹤其出站查詢ID值以避免出現(xiàn)重復(fù)，并增加隨機(jī)性。 則服務(wù)器將跟蹤其出站查詢ID值以避免出現(xiàn)重復(fù)，并增加隨機(jī)性。操作結(jié)果防止了DNS域名的遞歸查詢。、 禁止DNS域名遞歸查詢操作方法要禁止DNS域名遞歸查詢，在options（或特定的zone區(qū)域）節(jié)中增加： recursion no。 // version 。、 隱藏版本信息操作方法：在options節(jié)中增加自定義的BIND版本信息，可隱藏BIND服務(wù)器的真正版本號(hào)。缺?。ㄊ÷裕r(shí)是沒有大小限制的。 } 其中my_security_channel是用戶自定義的channel名字，可包含全路徑（否則是以named進(jìn)程工作目錄為當(dāng)前目錄）。 default_debug。 category security { my_security_channel。 severity info。t directory：指定當(dāng)服務(wù)器進(jìn)程處理完命令行參數(shù)后所要chroot()的目錄。u user_name和g group_name：定義域名服務(wù)器運(yùn)行時(shí)所使用的UID和GID。、 啟動(dòng)安全選項(xiàng) named進(jìn)程啟動(dòng)選項(xiàng)：r：關(guān)閉域名服務(wù)器的遞歸查詢功能（缺省為打開）。對(duì)于Windows系統(tǒng)來說，應(yīng)該及時(shí)安裝Windows系統(tǒng)關(guān)鍵安全更新補(bǔ)丁，防止利用Windows操作系統(tǒng)漏洞而造成的攻擊。chroot是一個(gè)相當(dāng)簡(jiǎn)單的概念，運(yùn)行在chroot封閉環(huán)境中的應(yīng)用程序，不能和封閉環(huán)境外的文件系統(tǒng)的任何部分進(jìn)行交互。3 安全配置DNS守護(hù)進(jìn)程 加固操作系統(tǒng)安裝任何守護(hù)進(jìn)程之前，安全可靠的操作系統(tǒng)應(yīng)該是一個(gè)先決條件。如果在沒有防火墻的情況下，可以直接在路由器上設(shè)置ACL訪問控制列表，只允許對(duì)DNS的TCP和UDP的53端口進(jìn)行訪問，其余訪問一律丟棄；如果采用防火墻來保護(hù)則能起到更好效果，同樣的對(duì)DNS的訪問除了TCP和UDP的53端口開放之外，拒絕其他的所有訪問。采用這種技術(shù)可以有效地防止信息泄漏。把DNS系統(tǒng)分成內(nèi)外兩個(gè)部分的好處在于Internet上其它用戶只能看到外部DNS系統(tǒng)中的服務(wù)器，而看不見內(nèi)部的服務(wù)器。當(dāng)內(nèi)部要查詢Internet上的域名時(shí)。Bogon List見： 。 應(yīng)用Bogon過濾攔截?zé)o效和無用的Internet IP地址，可以減少DoS攻擊時(shí)的網(wǎng)絡(luò)負(fù)擔(dān)，有助于通知網(wǎng)管關(guān)注網(wǎng)絡(luò)問題。但是，雖然在chroot環(huán)境中運(yùn)行守護(hù)進(jìn)程和限制訪問可以限制暴露點(diǎn)，真正阻止緩沖區(qū)溢出需要一個(gè)從底層開始就安全的平臺(tái)。 防御緩沖區(qū)溢出許多工具可以防止未授權(quán)溢出。如果緩存不能用，對(duì)服務(wù)器所做出的虛假回應(yīng)就沒有意義。 防御緩存破壞緩存破壞很容易防御。 減輕DoS所造成的損失許多操作系統(tǒng)特性可以遏制SYN包攻擊，并且許多類似的網(wǎng)絡(luò)設(shè)備可以驗(yàn)證包和丟掉欺騙包。如果區(qū)域傳輸被禁止，攻擊者將接收到傳輸失敗的消息。 限制區(qū)域傳輸可以禁用區(qū)域傳輸，而使用rsync軟件（）進(jìn)行安全的文件同步。為了盡量減少暴露的漏洞，除了打開有數(shù)據(jù)進(jìn)出的授權(quán)服務(wù)器的UDP端口53外，所有的端口都應(yīng)該禁止Internet訪問。2 現(xiàn)有的DNS攻擊防范措施DNS服務(wù)器最常見的安全措施就是限制誰能訪問它：服務(wù)器只需要和有限的終端客戶端通信。通過中間人進(jìn)行的DNS查詢欺騙完全可以被攻擊者控制。網(wǎng)絡(luò)泄密是較高風(fēng)險(xiǎn)的漏洞。 其他攻擊技術(shù)如果攻擊者可以嗅探網(wǎng)絡(luò)流量，后果將是不可預(yù)料的。 緩沖區(qū)溢出和任何其他應(yīng)用程序一樣，DNS也容易
高考資料相關(guān)推薦
鄂ICP備17016276號(hào)-1