サーバーで安全な設定とは正しい情報を正しく提供する不確かな情報を提供したりしない ( 安全というより正しい設定 ) サービス経由で侵入されない万が一侵入されても被害を最小限にする 2

Size: px

Start display at page:

Download "サーバーで安全な設定とは正しい情報を正しく提供する不確かな情報を提供したりしない ( 安全というより正しい設定 ) サービス経由で侵入されない万が一侵入されても被害を最小限にする 2"

のぶあきかいじ
6 years ago
Views:

1 DNS サーバーの安全な設定民田雅人株式会社日本レジストリサービス DNS DAY Internet Week 2003

2 サーバーで安全な設定とは正しい情報を正しく提供する不確かな情報を提供したりしない ( 安全というより正しい設定 ) サービス経由で侵入されない万が一侵入されても被害を最小限にする 2

3 DNS の復習 DNS(Domain Name System) はサーバーとクライアントから成り立つネームサーバー専用のサービスプログラム named(bind), tinydns(djbdns), MicrosoftDNS(Windows), etc リゾルバライブラリサービスプログラム 3

4 2 種類のネームサーバー (1) クライアントの問い合わせ ( 再帰的問い合わせ ) に答えるの IP アドレスを検索する要求 IP アドレスがのホスト名を検索する要求回答を持っていない場合 DNS の検索を行う結果をキャッシュして同一の問い合わせに備えるトラフィックと負荷の削減キャッシュサーバーと呼ぶフルリゾルバとも呼ぶ 4

5 キャッシュサーバー PCなどのクライアントに設定するマニュアルで設定する /etc/resolv.confでnameserver 行に設定ダイアルアップのネームサーバーの設定自動で設定する DHCP サーバーでクライアントに配布 PPP でクライアントに配布 5

6 の IP アドレスの検索 Japan Registry Service NS PC. jp example.jp PCからNSへ NSが. ( ルート ) のnsにIPアドレスを問い合わせ. のnsがjpのnsを返答 NSがjpのnsへIPアドレスを問い合わせ jpのnsがexample.jpのnsを返答 NSがexample.jpのnsへIPアドレスを問い合わせ example.jpのnsがアドレスを返答 NSがPCへIPアドレスを返答ネームサーバー (nsと略す) 問い合わせ返答 6

7 2 種類のネームサーバー (2) 管理しているドメインについての問い合わせ ( 非再帰的問い合わせ ) に答えるのホスト名は? 主にキャッシュサーバーからの問い合わせ問い合わせが管理外のドメインの場合回答しないエラーを返す or 何も返さないコンテンツサーバーと呼ぶ 7

8 コンテンツサーバー上位ドメインに登録し管理を委任するネームーサーバー % example.jp ns ;; ANSWER SECTION: example.jp. 1D IN NS ns0.example.jp. example.jp. 1D IN NS ns1.example.jp. ;; ADDITIONAL SECTION: ns0.example.jp. 1D IN A xx.xxx.xxx.xx ns1.example.jp. 1D IN A yy.yyy.yyy.yy 8

9 の IP アドレスの検索 Japan Registry Service NS PC. jp example.jp PCからNSへ NSが. ( ルート ) のnsにIPアドレスを問い合わせ. のnsがjpのnsを返答 NSがjpのnsへIPアドレスを問い合わせ jpのnsがexample.jpのnsを返答 NSがexample.jpのnsへIPアドレスを問い合わせ example.jpのnsがアドレスを返答 NSがPCへIPアドレスを返答ネームサーバー (nsと略す) 問い合わせ返答 9

10 コンテンツサーバーなのにある組織のネームーサーバーである ns.example.jpへその組織と関係ない a コンテンツキャッシュサーバーを兼用し適切なアクセス制限ができていない 10

11 第三者によるキャッシュサーバーの不正利用 Japan Registry Service 不正にドメインの検索を大量に行える負荷の増大キャッシュメモリの増大 BIND9 ならキャッシュメモリに制限をかけられるのでまだましプログラムの穴を突く可能性もありうるキャッシュ汚染の可能性もあるいずれも DoS 攻撃につながるコンテンツサーバーに影響があると致命的になる普通に使われて通常のドメインを検索するならおそらくほとんど問題は発生しない 11

12 アクセス制限を考慮した BIND の設定例再帰的検索は管理対象ネットワークのみに制限管理するゾーンへの問い合わせは何処からでも options {... recursion yes ; fetch-glue no ; allow-query { localhost ; /8 ; } ;... }; zone "." { type hint; file "named.root" ; }; zone " IN-ADDR.ARPA" { type master ; file "localhost.rev" ; }; zone "example.jp" { type master ; file "example.jp.zone" ; allow-query { any; }; }; 自組織のネットワークが /8 の例 12

13 コンテンツサーバーと Japan Registry Service キャッシュサーバーは別に運用するキャッシュ汚染からコンテンツサーバーを守るよりセキュアな設定に一方のトラブルで他方が巻き込まれるのを防ぐ BIND はコンテンツキャッシュの明示的な区別が無い named で両方を兼用 Windows の DNS サーバーも BIND と同様 BIND, WindowsDNS は設定で分離可能 djbdns ではもともと別のプログラムとして実装 tinydns( コンテンツ ) と dnscache( キャッシュ ) で兼用不可 13

14 BIND でのコンテンツサーバー named.confには自組織関連のゾーンを記述 recursion no; fetch-glue no; BIND9 では常に no hint 情報不要 (zone. ) セカンダリの場合 zone の記述部分でマスターから転送するように設定する options {... recursion no; fetch-glue no;... } ; zone "example.jp" { type master ; file "example.jp.zone" ; } ; 14

15 BIND でのキャッシュサーバー Japan Registry Service ゾーンとしては左の 2 つのみ自組織関連ゾーンのセカンダリーを設定してもよい recursion yes; hint 情報が必要 allow-query でアクセス制限して第三者に不正に利用させない (localhost) の情報も加える ::1 もお忘れなく 1 台のサーバーでも BIND を複数起動することは可能付録参照 options {... recursion yes; fetch-glue no; allow-query { /8 ; };... }; zone "." { type hint; file "named.root"; }; zone " IN-ADDR.ARPA" { type master; file "localhost.rev"; }; 15

16 Windows の DNS サービスの場合 DNS のプロパティの詳細タブ再帰を無効にするチェックするとコンテンツ専用サーバーになる DNS サーバーの設定だけではアクセスコントロールはできないルータによるフィルターまたは Windows 用 BIND に変更 16

17 ゾーン転送可能なホストを制限するセカンダリー以外には転送できないようにゾーン転送は DNS 的に重い処理なのでサービス不能攻撃の原因になりかねない BIND の場合 options や zone に allow-transfer でセカンダリーサーバーの IP アドレスを記述 zone example.jp { };... allow-transfer { x.x.x.x ; y.y.y.y ; };... 17

18 Windows の DNS サービスでのゾーン転送制限該当ゾーンのプロパティで設定するデフォルトでは NS レコードに指定したホストのみ転送を許可する Japan Registry Service 18

19 BIND のバージョン 2003 年 11 月 28 日現在の BIND BIND 9 系 Version 年 10 月 23 日リリース BIND 8. 系 Version 年 11 月 26 日リリース過去のバージョンでは侵入される危険があるいうまでもないことですが 19

20 万が一 named 経由で侵入されたときへの備え root とは別の named 専用ユーザーを用意しその権限で稼動するようにする named u <user> /var/run/named.pid などのオーナーに注意 named を chroot 環境で稼動させてアクセスできるファイルを制限する named t <chroot ディレクトリ > BIND9 での設定例 djbdns は chroot 環境下で動作する Japan Registry Service 20

21 セカンダリーネームサーバー用意するなら違うネットワークに配置する負荷分散目的なら同一ネットワークもありうるセカンダリーの運用状況は本当に大丈夫か? 第三者 ( 接続先プロバイダ等 ) に任せるなら十分信頼できるところへプライマリがセキュアでもセカンダリがセカンダリサーバーの情報が正常かどうかを定期的に確認するある日気づくとということの無いように 21

22 ルータでの acl や IDS ネームサーバーへの acl 設定するのはかまわないけど動作が妨げられない程度に DNS は条件によっては TCP も利用する IDS 正常なパケットを侵入と検出したりしない誤検出によってしなくてもいい問い合わせ生半可な設定は世間へ迷惑設定した本人も余計なコストがる Japan Registry Service 22

23 DNS パケットの横取り対策 Japan Registry Service ネームサーバーと同一 LANセグメントでパケットを覗けば横取りはたやすいネットワーク的にも近いため正しい回答より先に嘘を返せる確立が高まるスイッチングハブにすればパケットは覗けないと安心するのは大きな誤り ARP PoisoningとかARP Spoofingと呼ばれる手法 Googleで検索 ARP Poisoning 7,610 件 ARP Spoofing 57,800 件 23

24 ARP Poisoning (1/2) Japan Registry Service スイッチングハブにhostA( キャッシュサーバー ) hostb( 管理の甘いサーバ ) gw( ルータ ) が接続 IP アドレス MAC アドレス gw :1:1:1:1:1 hosta :2:2:2:2:2 hostb :3:3:3:3:3 アタッカーはhostBに侵入し楽々 root 権限を入手 hostbから偽のarp 応答を送る hosta へのMACaddrは 0:3:3:3:3:3 gw へのMACaddrは 0:3:3:3:3:3 hostaとgwのarpテーブルが書き換わるすべての通信はhostBを経由するようになる 24

25 ARP Poisoning (2/2) Japan Registry Service hostb では入ってくるパケットを覗きそのまま本来の IP アドレスへ転送する Layer2 的には hostb 宛なのでネットワークインターフェースをプロミスキャスにする必要も無い ARP Poisoning されても通常の通信は問題なく行えるため気づきにくい OS によっては ARP テーブルが変化すると syslog に残る 25

26 ARP Poisoning 対策同一セグメントに繋がっているホストをすべて正しく管理セキュリティホールを残さないことパスワード管理も正しく行う ARP テーブルをスタティックに登録する手間はかかるが管理したマシンしか接続できなくなるためセキュリティ的には強固になる 26

27 まとめ古き良き時代は過去の話メールサーバーのオープンリレーと同様十分なアクセス制限十分なセキュリティ対策今一度自分の管理してるネームサーバーとファイアウォール周りの点検をしてみましょう 27

28 付録

29 1 台でキャッシュサーバーとコンテンツサーバーを運用 (1/3) named プロセスを 2 つ起動する但し BIND9 は v6 を有効にすると 1 プロセスのみ listen-on-v6 {any;}; のみ機能将来修正される (?) コンテンツサーバー用 /etc/named.conf options {... recursion no; fetch-glue no; listen-on { ; } ;... } ; listen-on でサーバーの IP アドレスのみ /etc/resolv.conf では nameserver Japan Registry Service 29

30 1 台でキャッシュサーバーとコンテンツサーバーを運用 (2/3) キャッシュサーバー用 /etc/cache.conf named c /etc/cache.conf で起動 options {... pid-file "/var/run/cache-named.pid" ; listen-on { ; } ;... }; controls { unix "/var/run/cache-ndc" perm 0600 owner 0 group 0; } ; だけなのでアクセス制限は不要 Japan Registry Service 30

31 1 台でキャッシュサーバーとコンテンツサーバーを運用 (3/3) dump-file, memstatistics-file, statistics-file にも注意 Japan Registry Service 2 つの named プロセスで上書きの可能性があるため一方を名前を変更する例 (BIND8 の場合 ) dump-file "cache_dump.db" ; memstatistics-file "cache.memstats" ; statistics-file "cache.stats" ; 31

32 キャッシュサーバーに加えるべき逆引きゾーンの設定 Private Address Space - RFC /8, /12, /16 IPv4 Link-Local Address Japan Registry Service Dynamic Configuration of IPv4 Link-Local Addresses draft-ietf-zeroconf-ipv4-linklocal-07.txt /16 特に ISP のネームサーバー担当の方は是非! 32

33 キャッシュサーバーに加えるべき逆引きゾーンの設定例 Japan Registry Service named.conf zone "10.in-addr.arpa" { type master; file "dummy.zone"; }; zone " in-addr.arpa" { type master; file "dummy.zone"; }; zone " in-addr.arpa" { type master; file "dummy.zone"; }; zone " in-addr.arpa" { type master; file "dummy.zone"; }; zone " in-addr.arpa" { type master; file "dummy.zone"; }; dummy.zone SOA と NS を記述他は不要 $TTL IN SOA ns.example.jp. root.example.jp. ( 1 1H 15M 1W 1D ) IN NS ns.example.jp. 33

DNS DNS(Domain Name System) named(bind), tinydns(djbdns), MicrosoftDNS(Windows), etc 3 2 (1) ( ) IP IP DNS 4

DNS minmin@jprs.co.jp DNS DAY Internet Week 2003 ( ) 2 DNS DNS(Domain Name System) named(bind), tinydns(djbdns), MicrosoftDNS(Windows), etc 3 2 (1) ( ) www.example.jp IP IP 10.20.30.40 DNS 4 PC /etc/resolv.conf

サーバーで安全な設定とは 正しい情報を正しく提供する 不確かな情報を提供したりしない ( 安全というより正しい設定 ) サービス経由で侵入されない 万が一侵入されても被害を最小限にする 2

サーバーで安全な設定とは正しい情報を正しく提供する不確かな情報を提供したりしない ( 安全というより正しい設定 ) サービス経由で侵入されない万が一侵入されても被害を最小限にする 2