DNS je opšti deo klijent-server komunikacije u Internet Protocol (IP) mrežama. DNS je distributivna baza podataka koja se koristi u IP mrežama za prevođenje ili razrešavanje Fully qualified domain names (FQDN) u IP adrese i IP adrese u FQDNs. Windows Server 2003 koristi DNS kao primarni metod za razrešavanje imena (Name Resolution).
Zaštita DNS servera je veoma važna u svakom okruženju koje koristi aktivni direktorijum. Kada je DNS server napadnut, jedan od mogućih ciljeva napada je kontrola DNS informacija koje se vraćaju kao odgovor na klijentske DNS upite. Na ovaj način, klijenti mogu biti pogrešno upućeni ka neautorizovanim kompjuterima.
Sledeća tabela opisuje sigurnsone pretnje za DNS servere i tehnike sprečavanja ovih napada:
Sigurnosna polisa polazne linije za DNS servere je slična sigurnosnoj polaznoj liniji za domenske kontrolere. Konfigurisanje DNS servera na domenskim kontrolerima nudi karakteristike kao što su AD-integrisane zone i sigurno dinamičko ažuriranje.
Potrebno je koristiti sleće savete da biste uspešno zaštitili DNS servere od sigurnosnih pretnji:
AD-Integrisane zone karakterišu dve osnovne prednosti: Multimaster zonska replikacija, kao i činjenica da se proces DDNS (dinamičkog DNS-a) registracije sada odlikuje kako izbalansiranim opterećenjem, tako i zadovoljavajućim stepenom bezbednosti. Ipak, ove zone imaju i svojih nedostataka: one se, donekle, udaljavaju od onoga što je propisano RFC dokumentima za DNS. Pored toga, sve kontrolere domena moramo da pretvorimo i u DNS servere.
Integrisana AD-DNS zona je DNS zona koja je smeštena u aktivnom direktorijumu. Kada konfigurišemo domenski kontroler, aktivni direktorijum zahteva instalaciju DNS servisa. Zone koje su kreirane na DNS serveru, koji je i domenski kontroler u aktivnom direktorijumu, mogu da budu AD-integrisane DNS zone.
AD-integrisane DNS zone imaju nekoliko prednosti u poređenju sa običnim zonama (primarnim, sekundarnim i stub). AD-integrisane zone mogu da koriste aktivni direktorijum:
AD-Integrisane DNS Zone
U zonama koje nisu AD-integrisane DNS zone, postoji jedna Master kopija DNS zone (Primarna) i može postojati mnogo dodatnih kopija DNS zone (sekundarne).
U AD-Integrisanim DNS zonama, zonski podaci su smešteni u aktivnom direktorijumu, tako da može postojati Multi Master model. Svaki domenski kontroler upravlja promenama u DNS zoni.
Multi-Master znači da, ako domenski kontroler sadrži AD-integrisanu zonu, tada bilo koji domenski kontroler koji sadrži informacije o DNS zoni može da se ponaša kao primarni DNS server i može da pravi promene u zoni.
Kako AD-Integrisane zone koriste Secure Dynamic Updates
Secure Dynamic Update je proces u kojem klijent šalje zahtev za dinamičkim ažuriranjem (dynamic update) ka DNS serveru. Server pokušava da ažurira (update) njegov zapis u DNS zoni samo ako je klijent dokazao svoj identitet i poseduje validne podatke za logovanje (user name, password) da bi izvršio ažuriranje. Secure Dynamic Updates je omogućen samo u AD-integrisanim zonama.
Metoda koji je primarna na domenskim kontrolerima na kojima su konfigurisane DNS zone je dozvoljavanje samo Secure Dynamic Updates.
Druga metoda je konfiguracija zone koja nije smeštena na AD-integrisanom DNS serveru kako se bi omogućilo i sigurno i nesigurno dinamičko ažuriranje.
Metoda koja je primarna na domenskim kontrolerima, na kojima su konfigurisane DNS zone, je dozvoljavanje samo Secure Dynamic Updates.
Druga metoda je konfiguracija zone koja nije smeštena na AD-Integrisanom DNS serveru kako bi se omogućilo i sigurno i nesigurno dinamičko ažuriranje.
Svrha Dinamičkog ažuriranja
DNS na Windows Server 2003 podržava Secure Dynamic Update karakteristiku. Sigurno dinamičko ažuriranje nudi nekoliko prednosti, a to su:
Omogućavanjem dinamičkog ažuriranja na DNS zoni administrator više neće imati potrebu da ručno kreira i održava sve zapise u DNS zoni. Ipak, administrator ne može da kontroliše koji će DNS klijenti moći da koriste dinamičko ažuriranje. Ako koristimo Stand-Alone DNS server koji nije integrisan u aktivnom direktorijumu, tada nećemo moći da kontrolišemo ko može da dinamički ažurira svoje zapise na DNS serveru. Na primer, ako eksterni konsultant donese laptop u kompaniju koji nije član Domena aktivnog direktorijuma, i ako se laptop dinamički ažurira u DNS-u, tada ćemo možda imati problem sa sigurnošću na mreži.
Ipak, ako DNS server hostuje DNS zone koje su AD-integrisane DNS zone, onda ćemo moći da konfigurišemo DNS zonu kako bi dozvoljavala samo sigurno dinamićko ažuriranje (Secure Dynamic Update). Ovo znači da, ako se eksterni konsultant pojavi sa istim laptopom, koji nije član domena, pokušaji da se dinamički ažurira u DNS-u će biti odbačeni. Korišćenjem domenske sigurnosti, možemo da kontrolišemo dinamičko ažuriranje tako što ćemo dozvoliti dinamičko ažuriranje samo kompjuterima (klijentima) koji su članovi domena i koji su prošli proces autentifikacije u aktivnom direktorijumu.
Nesigurni naspram sigurnog dinamičkog ažuriranja
Ako je DNS zona AD-integrisana DNS zona moći ćemo da je konfigurišemo da dozvoljava samo Secure Only dinamičko ažuriranje. Zona koja je konfigurisana kao Secure Only, autentifikuje kompjuter koji pokušava da izvrši ažuriranje, i dozvoljava ažuriranje samo ako dozvole na zapisu dozvoljavaju da se ažuriranje izvrši. Zone koje se hostuju u aktivnom direktorijumu, sa dodatkom onih koji nisu u AD, mogu da se konfigurišu da omogućavaju nesigurno dinamičko ažuriranje, koje će omogućiti DNS registracije i modifikacije bez prethodnog proveravanja identiteta klijenta.
Sledeća procedura predstavlja sekvencu događaja prilikom procesa sigurnog dinamičkog ažuriranja (Secure Dynamic Update):
Ako DHCP server prvi izvršava sigurno dinamičko ažuriranje na DNS zapisu, tada DHCP server postaje vlasnik zapisa. Ovo može da izazove probleme pod nekoliko različitih okolnosti. Na primer, pretpostavimo da je DHCP server (DHCP1) kreirao zapis za ime server1.linkgroup.com i nakon toga prestao sa radom, a da bekap DHCP server (DHCP2) pokušava da ažurira ime. DHCP2 neće biti u mogućnosti da ažurira ime, zato što DHCP2 nije vlasnik tog imena. Iz tog razloga, ako je sigurno dinamičko ažuriranje omogućeno, svi DHCP serveri moraju da se stave u specijalnu sigurnosnu grupu DNSUpdateProxy. Objekti koje su kreirali članovi DNSUpdateProxy grupe nemaju sigurnost. Dakle, svaki autentifikovani korisnik može preuzeti vlasništvo nad objektom. Za više informacija o DNSUpdateProxy posetite informacije u Help-u.
Administrator može da konfiguriše obe, i AD-integrisane DNS zone i obične primarne, sekundarne i stub zone da dozvoljavaju sigurno dinamičko ažuriranje. Administrator takođe može da konfiguriše sigurnost na AD-integrisanim zonama.
Konfiguracija AD-Integrisanih DNS zona da dozvoljavaju sigurno dinamičko ažuriranje:
Zone imaju veoma važnu ulogu u DNS-u i iz tog razloga one bi trebalo da budu dostupne na više od jednom DNS serveru na mreži kako bi mogli da pruže adekvatnu dostupnost i toleranciju na greške prilikom razrešavanja upita. Ipak, informacije u DNS zonama su sklone napadima malicioznih korisnika. Napadač može da iskoristi DNS zonsku informaciju da bi počeo da mapira našu infrastrukturu ili da manipuliše podacima kako bi preusmerio korisnike ka drugim serverima. Zbog toga je veoma važno da konfigurišemo naš DNS server na takav način da replikacija zona bude dozvoljena, ali da bude maksimalno sigurna.
Replikacija zona: Replikacija zona može da bude konfigurisana kao zonski transfer ili kao deo replikacije aktivnog direktorijuma. Možemo da osiguramo DNS replikaciju zona implementacijom sledećih metoda:
DNS serveri koji su javno izloženi moraju imati izvarendne sigurnosne mere da bi se osigurala njihova dostupnost i stabilnost u nepoverljivom okruženju.
Potrebno je koristiti sledeći vodič prilikom restriktovanja eksternog pristupa DNS serverima: