Bir üniversite neden 53 numaralı varış noktasıyla gelen UDP trafiğini engellesin?

Anladığım kadarıyla, DNS UDP ve 53 numaralı bağlantı noktasını kullanır. 53 numaralı bağlantı noktası için gelen UDP paketlerinin engellenmemesi durumunda ne istenmeyen şeyler olabilir?

GÜNCELLEME: Paketler, üniversite tarafından işletilen yerel DNS sunucusu veya üniversite tarafından işletilen yetkili DNS sunucusuna yöneliktir veya bunlara yöneliktir.

Mantık şöyle çalışır:

1. Yalnızca internete kayıt sağlayan yetkili DNS sunucularının gösterilmesi gerekir .
2. İnternete maruz kalan açık özyinelemeli sunucular kaçınılmaz olarak ağ taramaları ve kötüye kullanımları tarafından bulunacaktır. (Bkz. Kullanıcı 1700494'ün cevabı)
3. Birinin yanlışlıkla açık bir özyinelemeli sunucuyu ayakta durma olasılığı, açık bir yetkili DNS sunucusundan daha yüksektir. Bunun nedeni, birçok cihazın ve "kutudan çıkma" nın, sınırsız özyinelemeye izin vermek için varsayılan olarak yapılandırılmış olmasıdır. Yetkili yapılandırmalar çok daha özelleştirilmiş ve nadiren karşılaşılıyor.
4. 1-3 göz önüne alındığında, istenmeyen tüm gelen trafiğin 53 hedef bağlantı noktasıyla bırakılması ağı korur. Nadir bir başka yetkili DNS sunucusunun ağa eklenmesi gerektiğine (planlanan bir etkinlik), istisnalar gerektiği gibi tanımlanabilir.

Örneğin, saldırganlar üniversitenin DNS sunucusunu DNS Amplifikasyon DDoS Attack için geçiş sunucusu olarak kullanabilirler

Andrew B'nin cevabı mükemmel. O ne dedi.

"53 numaralı bağlantı noktasına gelen UDP paketlerinin engellenmemesi halinde ne istenmeyen şeyler olabilir?" Sorusuna cevap vermek için? daha spesifik olarak, "DNS tabanlı saldırılar" hakkında googledim ve bu kullanışlı makaleyi aldım . Kelimeleri ifade etmek:

1. Dağıtılmış Yansıma DoS saldırısı
2. Önbellek zehirlenmesi
3. TCP SYN taşmaları
4. DNS tüneli
5. DNS kaçırma
6. Temel NXDOMAIN saldırısı
7. Fantom Domain saldırısı
8. Rastgele alt etki alanı saldırısı
9. Etki alanı kilitleme saldırısı
10. CPE cihazlarından botnet tabanlı saldırılar

Bu, olası bir DNS tabanlı saldırının tam bir listesi değil, sadece bir makalenin söyleyebilecek kadar dikkat çekici olduğunu söyledi.

Gerçekten, kısa cevap "Eğer yoksa olduğunu var hale getirileceğini, yapma."

Engelliyorlar, çünkü yapabilirler ve bu mantıklı bir güvenlik politikası.

Sorun genellikle olası açık çözücülere sahip olmaktan daha ciddidir - günün sonunda, DNS sunucularının yanlışlıkla kurulu olduğu herhangi bir sunucu veya makinenin yanlışlıkla kurulu olduğu herhangi bir sunucu veya makinenin DDOS karşıtı önlemlerle güvenli bir şekilde, açık çözücüler olmadan, kurulumunun önemi yoktur. ve ana DNS sunucusuna DNS yönlendirme istekleri yapmak, herhangi bir saldırganın DNS sunucularınızda uygulanan trafik sınırlandırmanızı ve güvenlik kısıtlamalarınızı atlamasına olanak tanır.

İstekler ayrıca iç yapıdan geliyor gibi görünecek ve DNS dahili adlarını ve dahili organizasyon / ağ / IP adreslemesinin istenmeyen ayrıntılarını gösterebilir.

Ayrıca, ağ güvenliği kurallarına göre, dışarıya maruz bıraktığınız servis ve hizmet sayısı ne kadar az olursa, riskleri daha düşüktür ve içeriden içeriye yapılan saldırınızdan yararlanmanız için giriş noktası olarak kullanılma olasılığı o kadar düşüktür.

Genellikle, UDP trafiğine gelince, kısıtlayıcı olmak istersiniz, çünkü:

a) TCP ile karşılaştırıldığında, gelen bir paketin ağ içindeki bir talebe cevap mı yoksa istenmeyen bir talebe mi cevap verdiğini güvenilir bir şekilde belirlemek için bir paket filtresinin kullanılması daha zordur. Paket filtreleme güvenlik duvarı üzerinden istemci / sunucu rollerini zorlamak, bu nedenle zorlaşır.

b) Bir sunucu veya istemci bilgisayardaki bir UDP bağlantı noktasına bağlanan herhangi bir işlem, yalnızca kendisi bir istek yapmak istediği için bu bağlantı noktasına bağlansa bile, istenmeyen paketlere maruz kalır ve sistem güvenliğini oraya bağımlı hale getirir. bu süreçte istismar veya karışıklığa yol açabilecek kusurlar. Geçmişte örneğin NTP müşterileriyle bu tür sorunlar yaşandı. Bir TCP istemcisiyle, bu istemciye gönderilen istenmeyen veriler çoğu durumda işletim sistemi tarafından atılır.

c) NAT kullanıyorsanız, yoğun UDP trafiği, a) 'daki gibi benzer nedenlerden dolayı NATing ekipmanı için çok fazla iş yükü oluşturabilir.

DNS protokolünü ve bağlantı noktasını kullanarak VPN tüneli oluşturan Araçlar vardır.

iyot bunlardan biridir. Bu yazılımı çalıştıran bir sunucu aracılığıyla trafiği tamamen tünelleyerek güvenlik duvarlarını atlamayı sağlar. Tanımda belirtildiği gibi, DNS protokolünü kullanır.

Bu ve benzeri araçlar bu sınırlamanın nedeni olabilir.