Tinjauan: Satu Server DNS dalam 10 Adakah 'teruk rentan'

Lebih dari 10 peratus daripada DNS Internet (Sistem Nama Domain) pelayan Internet masih terdedah kepada serangan keracunan cache, menurut duniawidesurvey dari pelayan nama internet yang menghadap muka umum.

Itu walaupun

"Kami menganggarkan ada 11.9 juta pelayan nama di luar sana, dan lebih dari 40 peratus membenarkan rekursi terbuka, jadi mereka menerima pertanyaan dari sesiapa, daripada mereka, seperempat tidak ditambal, jadi ada 1.3 juta pelayan nama yang mudah disalahgunakan, "kata Liu, yang merupakan naib presiden binaan Infoblox.

[Bacaan lanjut: Bagaimana untuk menghapus malware dari Anginmu

Pelayan DNS yang lain juga boleh membenarkan rekursi, tetapi tidak terbuka kepada semua orang, jadi mereka tidak dijemput oleh kaji selidik itu, katanya.

Liu berkata kelemahan keracunan cache, yang sering dinamai Dan Kaminsky, penyelidik keselamatan yang menerbitkan butir-butirnya pada bulan Julai, adalah tulen: "Kaminsky telah dieksploitasi dalam beberapa hari selepas dipublikasikan," katanya.

Modul mensasarkan kelemahan telah ditambah ke alat uji peretasan dan penetrasi Metasploit, contohnya. Ironinya, salah satu daripada pelayan DNS pertama yang dikompromi oleh serangan keracunan cache adalah salah satu yang digunakan oleh pengarang Metasploit, HD Moore.

Untuk saat ini, penawar untuk keracunan keracunan cache adalah rawak pelabuhan. Dengan menghantar pertanyaan DNS dari pelbagai pelabuhan sumber, ini menjadikannya lebih sukar bagi penyerang untuk meneka pelabuhan mana yang akan menghantar data yang diracun.

Walau bagaimanapun, ini hanya menetapkan separa, Liu memberi amaran. "Pelabuhan rawak mengurangkan masalah tetapi ia tidak membuat serangan mustahil," katanya. "Ia benar-benar hanya stopgap dalam perjalanan ke pemeriksaan kriptografi, iaitu apa yang pelanjutan keselamatan DNSSEC lakukan

." DNSSEC akan mengambil masa yang lebih lama untuk melaksanakan walaupun, kerana terdapat banyak infrastruktur yang terlibat - kunci pengurusan, tandatangan zon, tandatangan awam, dan sebagainya. Kami fikir kami mungkin melihat pengambilan yang ketara dalam penggunaan DNSSEC pada tahun ini, tetapi kami melihat hanya 45 rekod DNSSEC daripada satu juta sampel. Pada tahun lepas, kita melihat 44. "

Liu berkata dalam kaitan positif, kaji selidik itu muncul beberapa perkara berita baik, contohnya, sokongan untuk SPF - kerangka dasar pengirim, yang melawan spoofing e-mel - telah meningkat 12 bulan lepas daripada 12.6 peratus daripada zon yang dicantumkan kepada 16.7 peratus.

Selain itu, jumlah sistem Microsoft DNS Server yang tidak selamat yang disambungkan ke Internet turun dari 2.7 peratus daripada jumlah keseluruhan kepada 0.17 peratus. sistem ini masih boleh digunakan di dalam organisasi, tetapi berkata yang penting ialah "orang-orang bersembunyi dari menyambungkannya ke Internet."

Looking forward, Liu berkata bahawa hanya organisasi yang mempunyai keperluan khusus untuk DNS rekursif terbuka pelayan - dan keupayaan teknikal untuk memastikan mereka tidak dibanjiri - harus menjalankannya.

"Saya ingin melihat peratusan pelayan rekursif terbuka turun, kerana walaupun mereka ditambal mereka membuat amplifier besar untuk penafian - serangan perkhidmatan, "katanya." Kami tidak boleh menyingkirkan pelayan rekursif, tetapi anda tidak perlu membenarkan sesiapa saja menggunakannya. "