Nieuw soort DDoS-aanval die DNS-servers misbruikt ontdekt

Beetje storm in een glas water lijkt mij. Als je je DNS-server goed configureerd, wil deze machine alleen recursive zijn voor de IP's van je eigen netwerk (dus een gespoofed adres dat buiten je netwerk ligt heeft geen zin). Daarnaast dien je alleen voor de zones die je zelf draait requests toe te staan. de root-zone draai je niet zelf (en gebruik je alleen voor recursive lookups) en een request hiervoor ga je dus ook niet beantwoorden.

Dus volgens mij heeft het nog steeds met slecht geconfigureerde servers te maken (al maakt misschien een groot deel van de administrators de fout door requests voor de root-zone toe te staan vanaf ieder IP).

@Jurri@n: storm in een glas water? De DDoS op oa NetSol en ISPrime zijn zeker langs je heen gegaan?

Ik kom er net achter dat Bind ook met de optie "no-recursion" nog steeds reageert op requests door de "authority-records" (root-servers dus) terug te sturen.

Lijkt me dus toch een vrij ernstig probleem, omdat Bind een zeer veel gebruikt wordt, en dus in de configuratie die o.a. standaard op DirectAdmin installaties staat, met no-recursion, gevoelig lijkt om misbruikt te worden voor dit soort aanvallen.

Getest met http://network-tools.com/nslook/Default.asp door google.com bij "domain" in te vullen, en het adres van een DA-server in "server".

@andries

Maak het bestand /var/named/named.ca leeg (niet verwijderen), named herstarten en klaar.

Volgens mij zoek je voor bind:

recursion no;
additional-from-auth no;
additional-from-cache no;

Zie hier voor meer info:

http://www.cymru.com/Documents/secure-bind-template.html

Maar waarom niet gewoon PowerDNS van eigen bodem gebruiken die heef dat probleem niet. ;-)

@Lennie:
Dat lijkt inderdaad de oplossing, "additional-from-auth" dan vooral. Bedankt.

PowerDNS wordt niet ondersteund door DirectAdmin, nu is dat natuurlijk op de lossen door Bind en PowerDNS naast elkaar te draaien, waarbij Bind alleen maar AXFR-ed naar PowerDNS, maar dat is qua beheer weer lastiger.

@Andries Louw Wolthuizen:
PowerDNS wordt niet standaard ondersteund inderdaad, echter kan Bind uitstaan en PowerDNS kan de Bind bestanden uitlezen. Met enkele kleine aanpassingen draait het dan zonder problemen.

Uitlezen?! AXFR/IXFR bedoel je... Gewoon een standaard protocol. Twee regeltjes in je named.conf en de pdns/supermaster 'leest' je bestand uit.

Volgens mij doelt mark met uitlezen op de bind file backend van pdns: http://downloads.powerdns.com/documentation/html/bindbackend.html

Of mijn denkwijze is erg krom :)

@Randy en Dick:
Ik doel inderdaad op de mogelijkheid om bind files voor de backend van PowerDNS te gebruiken. Die andere optie (dus met AXFR/IXFR) gebruik ik zelf overigens wel, de methode met de bind bestanden heb ik nog nooit getest en enkel over gelezen in de PowerDNS documentatie.