搜索

[2389] 2015-10-22_知识｜如何利用被动DNS增强网络安全水平

文档创建者：s7ckTeam
浏览次数：106
最后更新：2025-01-16
2015-10-22_知识｜如何利用被动DNS增强网络安全水平 知 识 ｜ 如 何 利 用 被 动 D N S 增 强 网 络 安 全 水 平 5 1 C T O   E 安 全   2 0 1 5 - 1 0 - 2 2 收 集 与 分 析 被 动 被 动 D N S ( P a s s i v e   D N S ) 数 据 能 够 帮 助 我 们 识 别 恶 意 站 点 并 对 抗 钓 鱼 及 恶 意 软 件 ; 在 今 天 的 文 章 中 ， 我 们 将 一 同 了 解 如 何 完 成 起 步 工 作 。 在 过 去 几 年 当 中 ， 我 们 已 经 亲 身 经 历 了 愈 发 高 企 的 D N S 基 础 设 施 攻 击 威 胁 ： 针 对 验 证 域 名 服 务 器 的 D D o S 攻 击 、 利 用 域 名 服 务 器 作 为 D D o S 攻 击 的 放 大 机 制 、 顶 替 注 册 账 户 以 修 改 授 权 信 息 、 缓 存 投 毒 攻 击 以 及 由 恶 意 软 件 实 现 的 域 名 服 务 器 滥 用 等 等 。 值 得 庆 幸 的 是 ， 如 今 我 们 也 拥 有 了 更 多 能 够 抵 御 这 些 威 胁 的 强 大 新 型 安 全 机 制 ， 包 括 D N S 安 全 扩 展 、 响 应 策 略 区 以 及 响 应 速 率 限 制 等 手 段 。 而 就 目 前 而 言 ， D N S 安 全 乃 至 互 联 网 整 体 安 全 强 化 领 域 最 具 前 景 的 实 施 方 案 还 没 有 得 到 充 分 发 挥 — — 也 就 是 被 动 D N S 数 据 。 被 动 被 动 D N S ( P a s s i v e   D N S ) 概 念 介 绍 概 念 介 绍 被 动 D N S 最 初 于 2 0 0 4 年 由 F l o r i a n   W e i m e r 发 明 ， 旨 在 对 抗 恶 意 软 件 。 基 本 上 讲 ， 递 归 域 名 服 务 器 会 响 应 其 接 收 到 的 来 自 其 它 域 名 服 务 器 的 请 求 ， 对 响 应 进 行 记 录 并 将 日 志 数 据 复 制 到 中 央 数 据 库 当 中 。 那 么 这 部 分 日 志 数 据 包 含 有 哪 些 内 容 呢 ? 宏 观 地 讲 ， 也 就 是 遵 照 域 名 服 务 器 的 整 个 运 作 流 程 。 当 收 到 查 询 请 求 时 ， 域 名 服 务 器 会 首 先 检 查 自 身 缓 存 及 权 威 数 据 以 获 取 答 案 。 如 果 答 案 尚 不 存 在 ， 则 进 一 步 查 询 r o o t 域 名 服 务 器 之 一 作 为 参 考 直 到 找 出 了 解 相 关 答 案 的 验 证 域 名 服 务 器 ， 最 后 查 询 其 中 的 验 证 域 名 服 务 器 之 一 进 行 答 案 检 索 。 整 个 流 程 如 下 图 所 示 ： 大 部 分 被 动 D N S 数 据 会 在 “ 高 于 ” 检 索 域 名 服 务 器 的 位 置 被 立 即 捕 获 ， 如 下 图 所 示 ：
这 意 味 着 被 动 D N S 数 据 大 多 由 来 自 互 联 网 上 验 证 域 名 服 务 器 的 参 考 与 答 案 构 成 ( 当 然 ， 其 中 也 包 含 部 分 错 误 信 息 ) 。 这 部 分 数 据 拥 有 时 间 戳 、 经 过 重 复 数 据 删 除 与 压 缩 ， 而 后 被 复 制 到 中 央 数 据 库 内 以 备 归 档 与 分 析 。 需 要 注 意 的 是 ， 整 个 流 程 捕 捉 到 的 是 服 务 器 到 服 务 器 之 间 的 通 信 内 容 ， 而 非 来 自 存 根 解 析 器 并 指 向 递 归 域 名 服 务 器 的 查 询 内 容 。 ( 存 根 解 析 器 在 以 上 示 意 图 中 处 于 递 归 域 名 服 务 器 的 ‘ 下 方 ’ 位 置 。 ) 这 种 方 式 拥 有 两 大 重 要 作 用 ： 其 一 ， 相 较 于 在 存 根 解 析 器 与 递 归 域 名 服 务 器 间 进 行 通 信 ， 服 务 器 到 服 务 器 的 通 信 内 容 量 明 显 更 少 ， 即 只 包 含 缓 存 内 不 存 在 的 内 容 。 其 二 ， 服 务 器 到 服 务 器 通 信 不 会 被 轻 易 关 联 到 某 个 特 定 存 根 解 析 器 处 ， 因 此 涉 及 的 隐 私 内 容 也 就 相 对 较 少 。 被 动 D N S 数 据 的 具 体 收 集 方 式 多 种 多 样 。 一 部 分 递 归 域 名 服 务 器 ， 例 如 K n o t 以 及 U n b o u n d ， 当 中 包 含 有 软 件 钩 子 ， 旨 在 更 为 轻 松 地 捕 捉 被 动 D N S 数 据 。 管 理 员 可 以 利 用 d n s t a p 这 款 免 费 程 序 从 此 类 域 名 服 务 器 当 中 直 接 读 取 被 动 D N S 数 据 。 而 使 用 其 它 域 名 服 务 器 的 管 理 员 则 可 以 在 域 名 服 务 器 上 运 行 其 它 不 同 工 具 ， 从 而 达 到 同 样 的 域 名 服 务 器 流 量 监 控 效 果 — — 或 者 在 其 它 主 机 上 制 作 该 域 名 服 务 器 的 端 口 镜 像 以 实 现 数 据 记 录 。 被 动 被 动 D N S 的 价 值 所 在 的 价 值 所 在 各 类 企 业 都 会 采 用 不 同 的 数 据 库 来 容 纳 被 动 D N S “ 传 感 器 ” 发 来 的 上 传 数 据 。 目 前 人 气 最 高 且 最 为 知 名 的 当 数 F a r s i g h t   S e c u r i t y 打 造 的 被 动 D N S 数 据 库 — — D N S D B 。 D N S D B 中 包 含 有 多 年 以 来 由 世 界 范 围 内 所 有 传 感 器 收 集 而 来 的 数 据 。 当 然 也 有 一 些 机 构 会 采 用 其 它 被 动 D N S 数 据 库 方 案 ， 例 如 由 谷 歌 公 司 提 供 的 V i r u s T o t a l 网 站 、 德 国 咨 询 厂 商 B F K 发 布 的 方 案 、 卢 森 堡 计 算 机 事 件 响 应 中 心 ( 简 称 C I R C L ) 的 方 案 以 及 爱 沙 尼 亚 计 算 机 应 急 响 应 小 组 ( 简 称 C E R T - E E ) 的 技 术 成 果 等 等 。 对 被 动 D N S 数 据 库 进 行 查 询 能 够 提 供 大 量 极 具 实 用 价 值 的 信 息 。 举 例 来 说 ， 大 家 可 以 通 过 查 询 被 动 D N S 数 据 库 来 2 0 1 2 年 4 月 与 w w w . i n f o b l o x . c o m 网 站 相 关 联 的 D N S 查 询 记 录 ， 或 者 自 那 时 开 始 该 网 站 曾 经 使 用 过 哪 些 域 名 服 务 器 ， 又 或 者 另 有 哪 些 其 它 区 域 在 使 用 同 一 套 域 名 服 务 器 。 更 进 一 步 来 讲 ， 大 家 也 可 以 选 择 某 个 已 知 的 恶 意 恶 意 I P 地 址 ， 并 查 询 各 被 动 D N S 传 感 器 最 近 映 射 至 该 I P 地 址 的 全 部 相 关 域 名 服 务 器 。 接 下 来 我 们 一 同 了 解 被 动 D N S 的 各 类 实 际 用 途 ： · 被 动 D N S 数 据 库 允 许 企 业 以 近 实 时 方 式 检 测 缓 存 投 毒 以 及 欺 诈 变 更 行 为 。 企 业 能 够 定 期 查 询 被 动 D N S 数 据 库 ， 从 而 根 据 被 动 D N S 传 感 器 了 解 其 关 键 域 名 当 前 被 映 射 至 哪 个 具 体 地 址 。 权 威 区 域 数 据 映 射 关 系 中 的 任 何 变 化 都 可 能 意 味 着 企 业 已 经 开 始 遭 受 恶 意 攻 击 。 · F a r s i g h t   S e c u r i t y 方 面 会 定 期 从 D N S D B 中 整 理 出 最 新 域 名 ， 这 些 域 名 是 由 传 感 器 过 去 1 5 分 钟 、 1 小 时 或 者 其 它 预 设 时 间 周 期 内 所 获 取 。 该 公 司 随 后 会 在 全 新 域 名 同 恶 意 活 动 之 间 进 行 关 联 比 对 。 网 络 钓 鱼 或 者 其 它 类 似 恶 意 活 动 往 往 会 选 择 新 域 名 ， 并
在 使 用 后 的 短 时 间 内 直 接 丢 弃 。 而 对 过 去 1 5 分 钟 内 才 刚 刚 出 现 的 新 域 名 进 行 屏 蔽 只 需 要 很 低 的 实 现 成 本 。 F a r s i g h t 公 司 能 够 帮 助 企 业 用 户 定 期 获 取 这 些 最 新 域 名 ， 进 而 由 管 理 员 阻 止 其 进 一 步 解 析 。 · 如 果 当 前 被 动 D N S 数 据 库 支 持 模 糊 或 者 模 糊 匹 配 功 能 ， 那 么 企 业 用 户 就 能 够 定 期 查 询 该 数 据 库 所 使 用 或 者 看 起 来 与 其 处 理 名 称 相 似 的 域 名 ， 并 从 其 中 揪 出 潜 在 的 恶 意 行 为 。 · 一 旦 某 个 I P 地 址 或 者 域 名 服 务 器 被 标 记 为 恶 意 ， 企 业 用 户 能 够 利 用 被 动 D N S 数 据 库 轻 松 找 到 其 它 与 该 I P 地 址 相 映 射 的 域 名 ， 或 者 其 它 被 托 管 至 同 一 域 名 服 务 器 的 区 域 ， 这 些 都 属 于 潜 在 的 恶 意 活 动 载 体 。 · 通 过 监 控 由 A 到 A A A A 记 录 变 更 以 及 随 时 间 推 移 的 区 域 域 名 服 务 器 记 录 ， 我 们 能 够 轻 松 找 到 那 些 利 用 特 定 技 术 实 施 恶 意 行 为 的 域 名 ， 例 如 通 过 快 速 流 量 帮 助 钓 鱼 及 恶 意 站 点 躲 避 检 测 。 合 法 的 域 名 ( 除 了 那 些 用 于 负 载 平 衡 与 分 发 的 域 名 ) 不 会 非 常 频 繁 地 改 变 自 身 地 址 ， 而 且 大 多 数 合 法 的 区 域 域 名 也 很 少 变 更 自 身 域 名 服 务 器 。 利 用 响 应 策 略 区 关 闭 回 路 利 用 响 应 策 略 区 关 闭 回 路 响 应 策 略 区 ( 简 称 R P Z ) 提 供 了 一 套 宝 贵 的 机 制 ， 能 够 在 恶 意 域 名 被 从 被 动 D N S 数 据 中 识 别 出 来 后 关 闭 其 传 输 回 路 。 R P Z 属 于 D N S 区 域 ， 其 内 容 会 以 规 则 的 形 式 进 行 解 释 。 这 些 规 则 通 常 包 括 ， “ 如 果 任 何 人 尝 试 查 看 该 域 名 中 的 A 记 录 ， 则 返 回 错 误 提 示 并 注 明 该 域 名 并 不 存 在 。 ” 由 于 R P Z 属 于 简 单 区 域 ， 因 此 它 们 能 够 在 互 联 网 之 上 实 现 快 速 与 高 效 传 输 ， 而 其 中 所 包 含 的 策 略 则 会 得 到 立 即 执 行 。 通 过 分 析 被 动 D N S 数 据 进 行 恶 意 域 名 检 测 的 企 业 能 够 利 用 这 些 规 则 来 阻 断 已 确 定 恶 意 域 名 的 解 析 行 为 ， 并 禁 止 其 被 分 发 到 互 联 网 上 的 订 阅 用 户 处 。 如 果 大 家 希 望 了 解 如 何 在 自 己 的 递 归 域 名 服 务 器 上 实 现 被 动 D N S 数 据 分 发 ， 不 妨 点 击 此 处 查 看 由 F a r s i g h t 公 司 提 供 的 相 关 信 息 ( 英 文 原 文 ) ， 其 中 包 括 如 何 分 步 骤 设 置 一 套 被 动 D N S 传 感 器 。 大 家 也 可 以 立 足 于 被 动 D N S 数 据 分 析 进 行 R P Z 供 应 ， 从 而 在 企 业 内 部 环 境 下 有 效 阻 断 对 恶 意 域 名 的 解 析 。 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理