中国移动BIND域名解析软件安全配置规范V1.0

版 本 号 1 0 0 中国移动通信有限公司网络部 发 布 实 施 中 国 移 动 BIND 域 名 解 析 软 件 安 全 配 置 规 范 安 全 配 置 规 范 Specification for BIND Software Configuration Used in China Mobile 中国移动 BIND 域名解析软件安全配置规范 目录 1 概述 1 1 1 适用范围 1 1 2 内部适用性说明 1 1 3 外部引用说明 2 1 4 术语和定义 2 1 5 符号和缩略语 2 2 BIND 域名解析软件安全配置要求 3 2 1 记录安全事件到文件 3 2 2 隐藏 BIND 版本信息 4 2 3 禁止 DNS 域名递归查询 4 2 4 增加查询 ID 的随机性 5 2 5 限制域名查询 5 2 6 限制域名递归查询 6 2 7 指定动态 DNS 更新主机 6 2 8 指定动态 DNS 更新主机 7 2 9 指定不接受区域请求 7 2 10 指定不接受区域请求 8 2 11 定义 ACL 地址名 9 2 12 控制管理接口 10 2 13 防止 DNS 欺骗 10 2 14 设置重试查询次数 11 2 15 防止污染高速缓存 Cache 12 中国移动 BIND 域名解析软件安全配置规范 前言 为了贯彻安全三同步的要求 在设备选型 入网测试 工程验收以及运行维护等环节 明确并落实安全功能和配置要求 有限公司组织部分省公司编制了中国移动设备安全功能 和配置系列规范 本系列规范可作为编制设备技术规范 设备入网测试规范 工程验收手 册 局数据模板等文档的依据 本规范是该系列规范之一 明确了中国移动各类型设备所 需满足的通用安全功能和配置要求 并作为本系列其他规范的编制基础 本标准起草单位 中国移动通信有限公司网络部 中国移动集团北京公司 本标准解释单位 同提出单位 本标准主要起草人 王 悦 陈敏时 周智 曹一生 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 1 页 共 16 页 1 概述 1 1 适用范围 本规范适用于中国移动互联网使用 BIND 软件进行域名解析的 DNS 系统 本规范明确 了 BIND 域名解析软件安全配置方面的基本要求 BIND 全称是 Berkeley Internet Name Domain 伯克利因特网名字系统 官方网址 http www isc org 它主要有 3 个版本 BIND 4 BIND 8 BIND9 BIND 没有 5 6 7 这几个版本 一下就跳到 8 了 在 BIND8 以后的版本里融合了许多提高效率 稳定性和安 全性的技术 BIND 安全选项非常多 应针对 BIND 服务软件进行安全配置 充分利用 BIND 自身已 经实现的保护功能加强 BIND 安全性 从而能抵御目前已知的 BIND 安全漏洞 并尽可能 使潜在的安全漏洞对 DNS 服务造成最小的影响 BIND 安全配置可完成针对限制域传输 限制查询 防止 DNS 欺骗 设置重试查询次 数 修改 BIND 的版本信息等 Bind 系统安全配置 本规范基于 BIND9 x x 以上的版本提供 了安全配置操作方法 1 2 内部适用性说明 本规范是在 中国移动设备通用设备安全功能和配置规范 以下简称 通用规范 各项设备配置要求的基础上 提出的 BIND 域名解析软件安全配置规范 本规范新 增的安全配置要求 如下 安全要求 设备 通用 BIND 配置 1 安全要求 设备 通用 BIND 配置 2 安全要求 设备 通用 BIND 配置 3 安全要求 设备 通用 BIND 配置 4 安全要求 设备 通用 BIND 配置 5 安全要求 设备 通用 BIND 配置 6 安全要求 设备 通用 BIND 配置 7 安全要求 设备 通用 BIND 配置 8 安全要求 设备 通用 BIND 配置 9 安全要求 设备 通用 BIND 配置 10 安全要求 设备 通用 BIND 配置 11 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 2 页 共 16 页 安全要求 设备 通用 BIND 配置 12 安全要求 设备 通用 BIND 配置 13 安全要求 设备 通用 BIND 配置 14 安全要求 设备 通用 BIND 配置 15 1 3 外部引用说明 中国移动设备通用安全功能和配置规范 1 4 术语和定义 1 域名系统 DNS Domain Name System 是域名解析服务的意思 它在互联网的作用是 把域 名转换成为网络可以识别的 ip 地址 2 名字服务器和区 存储关于域名空间信息的程序叫做名字服务器 name server 名字服务器 通常含有域名空间中某一部分的完整信息 这一部分成为区 zone 区的内容是从文件或其 他名字服务器中加载而来的 3 递归或递归解析 recursive resolution 名字服务器在收到递归查询时所采用的解析过程 4 反复 iteration 或反复解析 iteration resolution 名字服务器在收到反复查询时所使用的解 析过程 5 DNS 通知 DNS NOTIFY 允许一个区 zone 的主名字服务器在序列号增加的时候通知该 区 zone 的辅名字服务器 1 5 符号和缩略语 缩写 英文描述 中文描述 BIND Berkeley Internet Name Domain 伯克利因特网名字域系统 DNS Domain Name System 域名系统 ISC Internet Systems Consortium 互联网 系统 协会 Recursive recursive 递归方式 Iterative iterative 反复方式 Nonrecursive onrecursive 非递归方式 Resolution resolution 解析 query query 查询 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 3 页 共 16 页 2 BIND 域名解析软件安全配置要求 本规范所指的 BIND 为域名解析软件 本规范提出的安全配置要求 在未特别说 明的情况下 均适用于 BIND9 x x 以上版本的域名解析软件 本规范只基于 BIND9 x x 域名解析软件自身提供的安全特性进行描述 不包括承 载 BIND 软件的操作系统的安全性以及外部网络设备 安全设备所提供的域名解析安 全配置 2 1 记录安全事件到文件 编号 安全要求 设备 通用 BIND 配置 1 要求内容 解决遇到的各种的异常问题 记录日志和认真地读取日志文件是 系统管理员的一项非常重要的任务 所以要记录安全事件到文件 中 同时还要保持原有的日志模式 检测方法 检测 etc bind named conf 文件中是否有如下内容 logging 操作指南 在 etc bind named conf 文件中增加如下内容 logging channel my security channel file my security file log versions 3 size 20m severity info category security my security channel 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 4 页 共 16 页 default syslog default debug 其中 my security channel 是用户自定义的 channel 名字 my security file log 是安全事件日志文件 可包含全路径 否 则是以 named 进程工作目录为当前目录 安全事件日志文件名为 my security file log 保存三个最近的备份 my security file log0 my security file log1 my securi ty file log2 日志文件的最大容量为 20MB 如果达到或超这一 数值 直到该文件被再次打开前 将不再记录任何日志消息 缺 省 省略 时是没有大小限制 操作结果 日志记录完整 所有异常问题都会在日志文件记录 2 2 隐藏 BIND 版本信息 编号 安全要求 设备 通用 配置 2 要求内容 通过 DNS 服务查询 BIND 版本号时 返回的信息 BIND 版本信息 检测方法 检测 etc bind named conf 文件中是否有如下内容 version Who knows 操作指南 在 etc bind named conf 文件中增加如下内容 version Who knows 操作结果 如果通过 DNS 服务查询 BIND 版本号时 返回的信息就是 Who knows 2 3 禁止 DNS 域名递归查询 编号 安全要求 设备 通用 配置 3 要求内容 针对非递归服务器 要禁止 DNS 域名递归查询 在 options 或特 定 zone 区域 中增加 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 5 页 共 16 页 检测方法 检测 etc bind named conf 文件中是否有如下内容 recursion no fetch glue no 操作指南 在 etc bind named conf 文件中的 options 或特定的 zone 区 域 节中增加 recursion no fetch glue no 操作结果 防止了 DNS 域名递归查询 2 4 增加查询 ID 的随机性 编号 安全要求 设备 通用 BIND 配置 4 要求内容 服务器将跟踪其出站查询 ID 值以避免出现重复 并增加随机性 检测方法 检测 etc bind named conf 文件的 options 节中是否有如下内 容 use id pool no 操作指南 在 etc bind named conf 文件中的 options 节中增加如下内容 use id pool yes 操作结果 这将会使服务器多占用超过 128KB 内存 缺省值为 no 2 5 限制域名查询 编号 安全要求 设备 通用 BIND 配置 5 要求内容 要限制对 DNS 服务器进行域名查询的主机 检测方法 检测 etc bind named conf 文件的 options 节中是否有如下内 容 allow query address match list 是允许进行域名查询的主机 IP 列表 如 1 2 3 4 5 6 7 24 操作指南 在 etc bind named conf 文件的 options 或特定的 zone 区域 节中增加 allow query address match list 是允许进行域名查询的主机 IP 列表 如 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 6 页 共 16 页 1 2 3 4 5 6 7 24 操作结果 不会对系统造成任何不良的影响 2 6 限制域名递归查询 编号 安全要求 设备 通用 BIND 配置 6 要求内容 要限制对 DNS 服务器进行域名递归查询的主机 检测方法 检测 etc bind named conf 文件的 options 节中是否有如下内 容 allow recursion address match list 是允许进行域名递归查询的主机 IP 列表 如 1 2 3 4 5 6 7 24 操作指南 在 etc bind named conf 文件的 options 或特定的 zone 区域 节中增加 allow recursion address match list 是允许进行域名递归查询的主机 IP 列表 如 1 2 3 4 5 6 7 24 操作结果 不会对系统造成任何不良的影响 2 7 指定动态 DNS 更新主机 编号 安全要求 设备 通用 BIND 配置 7 要求内容 缺省时为拒绝所有主机的提交动态 DNS 更新主机 我们可以根据 需要指定允许哪些主机向本 DNS 服务器提交动态 DNS 更新 检测方法 检测 etc bind named conf 文件的 options 节中是否有如下内 容 allow update address match list 是允许向本 DNS 服务器提交动态 DNS 更新的 主机 IP 列表 如 1 2 3 4 5 6 7 24 操作指南 在 etc bind named conf 文件的 options 或特定的 zone 区域 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 7 页 共 16 页 节中增加 allow update address match list 是允许向本 DNS 服务器提交动态 DNS 更新的 主机 IP 列表 如 1 2 3 4 5 6 7 24 操作结果 不会对系统造成任何不良的影响 2 8 指定动态 DNS 更新主机 编号 安全要求 设备 通用 BIND 配置 8 要求内容 要限制对 DNS 服务器进行区域记录传输的主机 检测方法 检测 etc bind named conf 文件的 options 节中是否有如下内 容 allow transfer address match list 是允许进行区域记录传输的主机 IP 列表 如 1 2 3 4 5 6 7 24 操作指南 在 etc bind named conf 文件的 options 或特定的 zone 区域 节中增加 allow transfer address match list 是允许进行区域记录传输的主机 IP 列表 如 1 2 3 4 5 6 7 24 操作结果 不会对系统造成任何不良的影响 2 9 指定不接受区域请求 编号 安全要求 设备 通用 BIND 配置 9 要求内容 要指定不接受哪些服务器的区域记录传输请求 检测方法 检测 etc bind named conf 文件的 options 节中是否有如下内 容 blackhole address match list 是不接受区域记录传输请求的主机 IP 列表 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 8 页 共 16 页 如 1 2 3 4 5 6 7 24 操作指南 在 etc bind named conf 文件的 options 或特定的 zone 区域 节中增加 blackhole address match list 是不接受区域记录传输请求的主机 IP 列表 如 1 2 3 4 5 6 7 24 操作结果 不会对系统造成任何不良的影响 2 10 指定不接受区域请求 编号 安全要求 设备 通用 BIND 配置 10 要求内容 要指定不接受哪些服务器的区域记录传输请求 检测方法 检测 etc bind named conf 文件的 options 节中相关内容 操作指南 在 options 节中还有一些资源限制选项 不同用户可根据实际情 况灵活设置 但一定要注意不当的设置会损失 DNS 服务的性能 coresize core dump 的最大值 缺省 为 default datasize 服务器所使用的最大数据段 内存 缺省为 default files 服务器能同时打开的最大文件 数 缺省为 unlimited 不限制 注意 并非所有操作系统都支持这一选项 max ixfr log size 限制增量区域记录传输 时会话日志的大小 stacksize 服务器所使用的最大堆栈段内存 缺省为 default 操作结果 上述操作建议不会对系统造成不良影响 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 9 页 共 16 页 2 11 定义 ACL 地址名 编号 安全要求 设备 通用 BIND 配置 11 要求内容 定义 ACL 地址名 即用于上面的 注意 如果要使用这里定义的列表名 必须先定义后使用 检测方法 检测 etc bind named conf 文件的相关内容 acl intranet acl partner 操作指南 在 etc bind named conf 文件中增加 acl intranet 192 168 16 acl partner 172 16 0 1 172 16 12 除 172 168 0 1 外 172 16 0 0 12 网络中其它主机 BIND 已内置以下四个 ACL all 允许所有主机 none 禁止所有主机 localhost 本机的所有网络接口 localnets 本机所在网络 操作结果 上述操作建议不会对系统造成不良影响 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 10 页 共 16 页 2 12 控制管理接口 编号 安全要求 设备 通用 BIND 配置 12 要求内容 BIND 域名服务器的一个有用功能 controls 提供管理接口 如果 使用第一种 inet 则在指定 IP 接口 和端口上监听 但只允 许在 allow 中限定允许与其连接的 IP 地址列表 如果使用第二种 unix 则产生一个 FIFO 的控制管道 权限 属主和用户组都由 其参数限定 检测方法 检测 etc bind named conf 文件的相关内容 controls 操作指南 在 etc bind named conf 文件中增加 注意控制管理接口 controls 节语法格式 controls inet ip addr port ip port allow unix path name perm number owner number group number 操作结果 上述操作建议在正确配置时不会对系统造成不良影响 2 13 防止 DNS 欺骗 编号 安全要求 设备 通用 BIND 配置 13 要求内容 DNS 欺骗指攻击者通过先捕捉用户查询包 然后通过猜测序列 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 11 页 共 16 页 号 假冒域名服务器返回查询地址使查询者收到虚假 IP 其危害 极大 现有的大多数 DNS 服务的实现存在两个比较危险的漏洞 其一为当 DNS 服务器收到一个合法的 DNS 应答信息时它会接 受这一返回包中的所有信息 并存入 CACHE 其二是当 DNS 服务器发查询包时 它在包内有一 query id 应答信息只有 query id 及 ip 地址都对上时才能为服务器所接受 而此 id 是可以预测的 这就给了入侵者以可乘之机 操作指南 防止入侵者上述漏洞的话 可以采取以下的方法 1 加强内网的安全性 使用性能优良的交换机作为网络连接 设备 这样可以隔离点播 在一定范围内实现对监听的控 制 如果认为必要的话 可以作一脚本定时清除 CACHE 或者禁止 DNS 的递归查询 如果系统允许 DNS 的递归查询的话 将会给攻击者 实施 DNS 欺骗造成可乘之机 操作结果 上述操作建议在正确配置时不会对系统造成不良影响 但建议谨 慎使用 2 14 设置重试查询次数 编号 安全要求 设备 通用 BIND 配置 14 要求内容 辅名字服务器在收到来自其主名字服务器的某个区的 NOTIFY 请求时 它就发送一个 NOTIFY 响应 这个响应告诉主名字服务器 该辅名字服务器已经收到 NOTIFY 请求 这样它就停止发送该区的 NOTIFY 消息了 然后辅名字服务器就会象刷新计时器到期了一样 操作 他向主名字服务器查询 请求那个主名字服务器声称已经 改变了的区 SOA 记录 如果序列号较高 辅名字服务器就传送该 区 如果有人给辅名字服务器发送假冒的 NOTIFY 请求 造成许多不必 要的区传送 从而产生对主名字服务器的 dos 攻击 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 12 页 共 16 页 操作指南 如果要防止此类攻击的发生 可以采用以下的方法 在 BIND 中 DNS NOTIFY 是缺省打开的 可以通过使用下面 的配置全部关闭该功能 options notify no 也可以针对某个区打开或关闭该功能 例如 下面的语句可 以使得 区不会向 的辅名字服务器发送 NOTIFY 消 息 也可以只针对某一台辅名字服务器发送 NOTIFY 消息 zone type master file db abc notify no 操作结果 上述操作建议在正确配置时不会对系统造成不良影响 但建议谨 慎使用 2 15 防止污染高速缓存 Cache 编号 安全要求 设备 通用 BIND 配置 15 要求内容 攻击者可以通过猜测 DNS 解析过程中的报文序列号来伪造 DNS 权 威服务器的应答 从而达到 污染 高速缓存 Cache 中的记录的目 的 即将错误的域名指向信息注入 DNS 服务器 最终导致受到污染 的 DNS 服务器将对外提供错误的解析结果 该种攻击方式可造成域 名劫持攻击 使得公众在不知情的情况下通过域名访问到黑客指定的 网站 面临网络钓鱼和网页木马等一系列严重的安全威胁 该攻击 出现时 会短时出现大量伪造的域名解析响应数据包 呈现拒绝服务 攻击特点 这些数据包的源 IP 目的 IP 解析的 IP 地址相同 但序 列号不同 操作指南 针对该漏洞 可采取以下措施进行防范 1 在防火墙设备上配置相应的规则加以屏蔽或过滤 中国移动 BIND 域名解析软件安全配置规范 中国移动通信集团公司 第 13 页 共 16 页 2 定期清理 DNS 缓存或在发现异常访问后清理缓存 在 crontab 中增加定期清理脚本 Crontab e 插入一下 0 5 cd usr local named sbin usr local named sbin rndc flush 操作结果 上述操作建议在正确配置时不会对系统造成不良影响