什么是DNS缓存中毒?如何防止DNS缓存中毒攻击

  • 时间:
  • 浏览:145
  • 来源:天一数据

近来,网络上出现互联网漏洞——DNS缓存漏洞,此漏洞直指我们应用中互联网脆弱的安全系统,而安全性差的根源在于设计缺陷。利用该漏洞轻则可以让用户无法打开网页,重则是网络钓鱼和金融诈骗,给受害者造成巨大损失。

DNS缓存中毒也称为DNS欺骗,是一种攻击,旨在查找并利用DNS或域名系统中存在的漏洞,以便将有机流量从合法服务器吸引到虚假服务器上。这种攻击往往被归类为域欺骗攻击(pharming attack),由此它会导致出现很多严重问题。首先,用户往往会以为登陆的是自己熟悉的网站,而它们却并不是。与钓鱼攻击采用非法URL不同的是,这种攻击使用的是合法的URL地址。


DNS缓存中毒如何工作?

当一个DNS缓存服务器从用户处获得域名请求时,服务器会在缓存中寻找是否有这个地址。如果没有,它就会上级DNS服务器发出请求。在出现这种漏洞之前,攻击者很难攻击DNS服务器:他们必须通过发送伪造查询响应、获得正确的查询参数以进入缓存服务器,进而控制合法DNS服务器。这个过程通常持续不到一秒钟,因此黑客攻击很难获得成功。

但是,现在有安全人员找到该漏洞,使得这一过程朝向有利于攻击者转变。这是因为攻击者获悉,对缓存服务器进行持续不断的查询请求,服务器不能给与回应。比如,一个黑客可能会发出类似请求:1q2w3e.google.com,而且他也知道缓存服务器中不可能有这个域名。这就会引起缓存服务器发出更多查询请求,并且会出现很多欺骗应答的机会。

当然,这并不是说攻击者拥有很多机会来猜测查询参数的正确值。事实上,是这种开放源DNS服务器漏洞的公布,会让它在10秒钟内受到危险攻击。要知道,即使1q2w3e.google.com受到缓存DNS中毒攻击危害也不大,因为没有人会发出这样的域名请求,但是,这正是攻击者发挥威力的地方所在。通过欺骗应答,黑客也可以给缓存服务器指向一个非法的服务器域名地址,该地址一般为黑客所控制。而且通常来说,这两方面的信息缓存服务器都会存储。

由于攻击者现在可以控制域名服务器,每个查询请求都会被重定向到黑客指定的服务器上。这也就意味着,黑客可以控制所有域名下的子域网址:www.bigbank.com,mail.bigbank.com,ftp.bigbank.com等等。这非常强大,任何涉及到子域网址的查询,都可以引导至由黑客指定的任何服务器上。

DNS缓存中毒有何风险?

DNS缓存中毒的主要风险是窃取数据。DNS缓存中毒攻击的最喜欢的目标是医院,金融机构网站和在线零售商。这些目标容易被欺骗,这意味着任何密码,信用卡或其他个人信息都可能受到损害。此外,在用户设备上安装密钥记录器的风险,可能会导致用户访问其他站点时暴露其用户名和密码。

另一个重大风险是,如果互联网安全提供商的网站被欺骗,那么用户的计算机可能会受到其他威胁(如:病毒或特洛伊木马)的影响,因为一旦被攻击用户则不会执行合法的安全更新。

据称,DNS攻击的年平均成本为223.6万美元,其中23%的攻击来自DNS缓存中毒。

如何防止DNS缓存中毒

那么,企业究竟该如何防止DNS缓存中毒攻击?要从以下几点出发:

第一,DNS服务器应该配置为尽可能少地依赖与其他DNS服务器的信任关系。以这种方式配置将使攻击者更难以使用他们自己的DNS服务器来破坏目标服务器。

第二,企业应该设置DNS服务器,只允许所需的服务运行。因为在DNS服务器上运行不需要的其他服务,只会增加攻击向量大小。

第三,安全人员还应确保使用最新版本的DNS。较新版本的BIND具有加密安全事务ID和端口随机化等功能,可以帮助防止缓存中毒攻击。

第四,用户的安全教育对于防止这些攻击也非常重要。用户应接受有关识别可疑网站的培训,用户要学会只访问HTTPS网站,这有助于防止人们成为中毒攻击的受害者,因为他们会确保不将他们的个人信息输入黑客的网站。如果他们在连接到网站之前收到SSL警告,则不会单击“忽略”按钮。 这样就不会受到DNS缓存中毒攻击。

结论

HTTPS是现行架构下最安全的解决方案,SSL证书可以很直观的辨别出钓鱼网站,避免网站受到DNS缓存中毒攻击,保护信息安全。部署SSL证书一定要选择一个具有公信力的CA机构,选择CA机构最好是通过国际Webtrust标准的认证,具备了国际电子认证服务能力的CA机构,通过国际Webtrust标准的认证意味着CA机构的运营管理和服务水平符合国际标准,并且有能力、有资质提供全球化认证服务,是可靠电子认证服务的有效证明。

猜你喜欢

IDC:中国或在2023年成为全球最大私有云IT基础架构市场

IDC表示,2018年,中国公共和私有云IT基础架构的年度投资(包括供应商收入以及渠道加成)总计120.1亿美元,同比增加74.7%。2018年IDC最新发布的云核算IT基础架

2019-04-21

IDC发布未来两年全球云计算预测报告

IDC发布了从2018年至2020年的全球云预测报告,报告提出了以下十大重点:1、到2020年,超过90%的企业将使用多种云服务和平台。对跨平台管理资源的投资将支撑这种转型。在

2018-12-28

说一说传统IDC与云数据中心的区别

云数据中心或云计算数据中心,是一种基于云计算架构的,高度虚拟化、自动化、节能化的新型数据中心。其服务器、存储、网络、应用等虚拟化,使用户可以按需调用各种资源,对相关业务进行流程

2018-12-28

IDC:预计2022年中国物联网市场支出达2552.3亿美元

IDC近日发布了《2018年上半年全球物联网支出指南》,从技术、行业、应用场景等维度对2018年上半年物联网市场发展进行全方位回顾,并通过前瞻性的行业洞察,对未来市场的发展趋势

2018-12-28

IDC产业迅猛发展,“跨界热潮”持续升温

面对数字时代的到来,我国政府已相继出台《“宽带中国”战略及实施方案》《关于积极推进“互联网+”行动的指导意见》《国家信息化发展战略纲要》等政策,从信息化发展的角度统揽全局进行总

2018-12-24

PRODUCT FEATURES

我们的产品特性

基础设施

我们采用最新的Intel Xeon CPU、DDR3内存以及全新HDD机械硬盘及SSD固态硬盘。

操作系统

我们支持 Centos、Debian、Ubuntu、Windows、Xen server、VMware esxi等系统。

网络资源

每台服务器支持多个独立IPV4地址,最高支持10Gbps 独享上下行对等国际带宽。

费用合理

计费灵活,根据您的需要自定义服务器配置,自定义选配附加内存、硬盘、ip以及带宽。

可拓展性

只需执行几个简单的步骤,即可完成基础硬件设施升级,操作系统部署或重装只需几分钟。

控制面板

许多功能都可以一键操作:开机、关机、重启、VNC控制台、重装系统、备份/还原、网卡控制等。

合作伙伴

天一数据联手各大合作伙伴,助力企业上云!

腾讯云

腾讯云以卓越科技能力助力各行各业数字化转型,为数百万的企业和开发者提供安全稳定的云计算服务,涵盖云服务器、云数据库、云存储、视频与CDN、域名注册等全方位云服务和各行业解决方案。

立即咨询

安畅网络

安畅网络与中国市场的五家超大规模公有云厂商(阿里云、腾讯云、华为云、AWS、Azure)同时建立了战略合作关系。帮助企业客户快速接入云世界,最大化利用云计算进行业务创新和数字化转型。

立即咨询

易信科技

易信科技主营绿色数据中心的建设与运营,具有全网ISP、IDC运营资质,已通过TL9000质量管理体系认证。拥有200余人的绿色数据中心建设运营团队,在数据中心节能、智能管理拥有核心自主知识产权50余项。

立即咨询

西部数码

西部数码是基于云计算领先的互联网服务提供商,15年专业知名品牌。专业提供云服务器、虚拟主机、域名注册、企业邮箱、云服务器等,50余万个虚拟主机网站及1000余万个域名用户的共同选择!

立即咨询

增强行业合作促进共同繁荣

Strengthen the industry cooperation to promting prosperity

在线客服