Documentation Produit
ADC
14.1 - Current Release 13.1 13.0 12.1
Voir PDF

Options de sécurité DNS

August 11, 2023
Contributeur: 
C

Vous pouvez désormais configurer les options de sécurité DNS à partir de la page Ajouter un profil de sécurité DNS dans l’interface graphique de NetScaler. Pour configurer les options de sécurité DNS à partir de l’interface de ligne de commande NetScaler ou de l’API NITRO, utilisez les composants AppExpert. Pour obtenir des instructions, consultez la documentation de l’API NITRO et le NetScaler Command Reference Guide.

L’une des options, la protection contre l’empoisonnement du cache, est activée par défaut et ne peut pas être désactivée. Vous pouvez appliquer les autres options à tous les points de terminaison DNS ou à des serveurs virtuels DNS spécifiques de votre déploiement, comme indiqué dans le tableau suivant :

Option de sécurité Peut-il être appliqué à tous les points de terminaison DNS ? Peut-il être appliqué à des serveurs virtuels DNS spécifiques ?
Protection DDoS DNS Oui Oui
Gestion des exceptions : serveurs sur liste blanche/liste noire Oui Oui
Empêchez les attaques aléatoires de sous-domaines Oui Oui
Contourner le cache Oui Non
Appliquer les transactions DNS via TCP Oui Oui
Fournissez les détails de la racine dans la réponse DNS Oui Non

Protection contre l’empoisonnement du cache

Une attaque par empoisonnement du cache redirige les utilisateurs de sites légitimes vers des sites Web malveillants.

Par exemple, l’attaquant remplace une adresse IP authentique dans le cache DNS par une adresse IP fausse qu’il contrôle. Lorsque le serveur répond à des demandes provenant de ces adresses IP, le cache est empoisonné. Les demandes ultérieures d’adresses du domaine sont redirigées vers le site de l’attaquant.

L’option Protection contre l’empoisonnement du cache empêche l’insertion de données corrompues dans la base de données qui met en cache les demandes et les réponses du serveur DNS. Cette fonctionnalité est intégrée aux appliances NetScaler et est toujours activée.

Protection DDoS DNS

Vous pouvez configurer l’option Protection DDoS DNS pour chaque type de requête que vous soupçonnez d’être utilisée dans une attaque DDoS. Pour chaque type, l’appliance supprime toutes les demandes reçues après le dépassement d’une valeur seuil pour le nombre de demandes reçues au cours d’une période spécifiée (tranche de temps). Vous pouvez également configurer cette option pour consigner un avertissement sur le serveur SYSLOG. Par exemple :

  • DROP : - Sélectionnez cette option pour déposer des requêtes sans journalisation. Supposons que vous ayez activé une protection d’enregistrement avec une valeur de seuil 15, une tranche de temps de 1 seconde et que vous avez choisi DROP. Lorsque les demandes entrantes dépassent 15 requêtes en 1 seconde, les paquets commencent à être supprimés.
  • AVERTISSEMENT : - Sélectionnez cette option pour enregistrer et déposer les demandes. Supposons que vous ayez activé une protection d’enregistrement avec une valeur de seuil 15, une tranche de temps de 1 seconde et que vous avez choisi WARN. Lorsque les demandes entrantes dépassent 15 requêtes en 1 seconde, un message d’avertissement est enregistré indiquant une menace, puis les paquets sont supprimés. Citrix vous recommande de définir des valeurs de seuil pour WARN inférieures à la valeur seuil de DROP pour un type d’enregistrement. Ce paramètre aide les administrateurs à identifier une attaque en enregistrant un message d’avertissement avant que l’attaque ne se produise et que NetScaler ne commence à supprimer les demandes entrantes.

Définir un seuil pour le trafic entrant à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Sur la page Profil de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
  4. Étendez la protection DNS contre les attaques DDoS.
    1. Sélectionnez le type d’enregistrement et entrez le seuil et la valeur de la tranche de temps.
    2. Sélectionnez DROP ou WARN.
    3. Répétez les étapes a et b pour chacun des autres types d’enregistrement contre lesquels vous souhaitez vous protéger.
  5. Cliquez sur Envoyer.

Gérer les exceptions — serveurs de listes d’autorisations/listes de blocage

Gérer les exceptions vous permet d’ajouter des exceptions à la liste de blocage ou à autoriser la liste des noms de domaine et des adresses IP. Par exemple :

  • Lorsqu’une adresse IP particulière est identifiée en train de publier une attaque, cette adresse IP peut être ajoutée à la liste de blocage.
  • Lorsque les administrateurs constatent qu’il y a un nombre inattendu de demandes pour un nom de domaine particulier, il est possible d’ajouter ce nom de domaine à la liste de blocage.
  • NXDomains et certains des domaines existants pouvant consommer les ressources du serveur peuvent être mis sur liste noire.
  • Lorsque les administrateurs autorisent les noms de domaine de liste ou les adresses IP, les requêtes ou requêtes provenant uniquement de ces domaines ou adresses IP reçoivent une réponse et toutes les autres sont supprimées.

Créez une liste d’autorisation ou une liste bloquée à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
    1. Développez Gérer les exceptions — Liste d’autorisation et de blocage des serveurs.
    2. Sélectionnez Bloquer pour bloquer les requêtes provenant de domaines/adresses de la liste noire, ou sélectionnez Autoriser uniquement pour autoriser les requêtes provenant de domaines/adresses de la liste blanche.
    3. Dans la zone Nom de domaine/Adresse IP, entrez les noms de domaine, adresses IP ou plages d’adresses IP. Utilisez des virgules pour séparer les entrées. Remarque : Si vous sélectionnez l’option avancée, vous pouvez utiliser les options « commencer par », « contient » et « se termine par » pour définir les critères. Par exemple, vous pouvez définir des critères pour bloquer une requête DNS commençant par « image » ou se terminant par « .co.ru » ou contenant des « sites mobiles ». «
  4. Cliquez sur Envoyer.

Empêchez les attaques aléatoires de sous-domaines

Dans les attaques aléatoires de sous-domaines, les requêtes sont envoyées à des sous-domaines aléatoires et inexistants de domaines légitimes. Cette action augmente la charge sur les résolveurs et serveurs DNS. En conséquence, ils peuvent devenir surchargés et ralentir.

L’option Empêcher les attaques aléatoires sur des sous-domaines indique au répondeur DNS de supprimer les requêtes DNS qui dépassent une certaine longueur.

Supposons que example.com est un nom de domaine qui vous appartient et que la demande de résolution parvient donc à votre serveur DNS. L’attaquant peut ajouter un sous-domaine aléatoire à example.com et envoyer une demande. En fonction de la longueur de requête spécifiée et du nom de domaine complet, les requêtes aléatoires sont supprimées.

Par exemple, si la requête est www.image987trending.example.com, elle est supprimée si la longueur de la requête est définie sur 20.

Spécifier une longueur de requête DNS à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
    1. Développez Prévenir les attaques aléatoires sur des sous-domaines.
    2. Entrez la valeur numérique de la longueur de la requête.
  4. Cliquez sur Envoyer.

Contourner le cache

Lors d’une attaque, les données déjà mises en cache doivent être protégées. Pour protéger le cache, de nouvelles demandes pour certains domaines ou certains types d’enregistrements ou codes de réponse peuvent être envoyées aux serveurs d’origine plutôt que mises en cache.

L’option Contourner le cache indique à l’appliance NetScaler de contourner le cache pour des domaines, des types d’enregistrements ou des codes de réponse spécifiques lorsqu’une attaque est détectée.

Contournez le cache pour les domaines ou les types d’enregistrements ou les types de réponse spécifiés à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, développez Contournement du cache et entrez les noms de domaine. Vous pouvez également choisir les types d’enregistrement ou les types de réponses pour lesquels le cache doit être contourné.
    • Cliquez sur Domaines et saisissez les noms de domaine. Utilisez des virgules pour séparer les entrées.
    • Cliquez sur Types d’enregistrement et choisissez les types d’enregistrement.
    • Cliquez sur Types de réponse et choisissez le type de réponse.
  4. Cliquez sur Envoyer.

Appliquer les transactions DNS via TCP

Certaines attaques DNS peuvent être évitées si les transactions sont obligées d’utiliser le protocole TCP au lieu de l’UDP. Par exemple, lors d’une attaque par un bot, le client envoie un flot de requêtes mais ne peut pas gérer les réponses. Si l’utilisation de TCP est appliquée pour ces transactions, alors les bots ne peuvent pas comprendre les réponses et ne peuvent donc pas envoyer de demandes via TCP.

Forcer les domaines ou les types d’enregistrements à fonctionner au niveau TCP à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Dans la page Ajouter un profil de sécurité DNS, développez Imposer les transactions DNS sur TCP et entrez les noms de domaine et/ ou choisissez les types d’enregistrement pour lesquels les transactions DNS doivent être appliquées sur TCP.
    • Cliquez sur Domaines et saisissez les noms de domaine. Utilisez des virgules pour séparer les entrées.
    • Cliquez sur Types d’enregistrement et choisissez les types d’enregistrement.
  4. Cliquez sur Envoyer.

Fournissez les détails de la racine dans la réponse DNS

Dans certaines attaques, l’attaquant envoie un flot de requêtes pour des domaines non liés qui ne sont pas configurés ou mis en cache sur l’appliance NetScaler. Si le dnsRootReferral paramètre est ENABLED, il expose tous les serveurs racine.

L’option Fournir les détails de la racine dans la réponse DNS indique à l’appliance NetScaler de restreindre l’accès aux références root pour une requête qui n’est ni configurée ni mise en cache. L’appliance envoie une réponse vide.

L’option Fournissez les détails racine dans l’option Réponse DNS peut également atténuer ou bloquer les attaques d’amplification. Lorsque le paramètre DNSRootReferral est DÉSACTIVÉ, les réponses NetScaler ne contiennent aucune référence racine et ne sont donc pas amplifiées.

Activer ou désactiver l’accès au serveur racine à l’aide de l’interface graphique

  1. Accédez à Configuration > Sécurité > Sécurité DNS.
  2. Dans la page Profils de sécurité DNS, cliquez sur Ajouter.
  3. Sur la page Ajouter un profil de sécurité DNS, procédez comme suit :
    1. Développez Fournissez les détails de la racine dans la réponse DNS.
    2. Cliquez sur ON ou OFF pour autoriser ou restreindre l’accès au serveur racine.
  4. Cliquez sur Envoyer.
Options de sécurité DNS
August 11, 2023
Contributeur: 
C
August 11, 2023
Contributeur: 
C

Dans cet article

Commentaires sur le site | Your privacy choices footer linkVos préférences de confidentialité | Confidentialité et conditions légales | Préférences de cookies | Paramètres de consentement | docs.cloud.com
© 1999- Cloud Software Group, Inc. All rights reserved.