Allan Liska Geoffrey Stowe

Transcrição

1 Allan Liska Geoffrey Stowe Novatec

2 Copyright 2016 Elsevier Inc. All rights reserved. No part of this publication may be reproduced or transmitted in any form or by any means, electronic or mechanical, including photocopying, recording, or any information storage and retrieval system, without permission in writing from the publisher. Details on how to seek permission, further information about the Publisher s permissions policies and our arrangement with organizations such as the Copyright Clearance Center and the Copyright Licensing Agency, can be found at our website: This book and the individual contributions contained in it are protected under copyright by the Publisher (other than as may be noted herein). This edition of DNS Security: Defending the domain name system by Allan Liska and Geoffrey Stowe is published by arrangement with ELSEVIER INC., a Delaware corporation having its principal place of business at 360 Park Avenue South, New York, NY 10010, USA. Nenhuma parte desta publicação pode ser reproduzida ou transmitida de qualquer forma ou por qualquer meio, eletrônico ou mecânico, incluindo fotocópia, gravação ou qualquer armazenamento de informação e sistema de recuperação, sem permissão por escrito da editora. Detalhes sobre como pedir permissão, mais informações sobre as permissões de políticas da editora e o acordo com organizações como o Copyright Clearance Center e da Copyright Licensing Agency, podem ser encontradas no site: Este livro e as contribuições individuais contidas nele são protegidos pelo Copyright da Editora (além de outros que poderão ser aqui encontrados). Esta edição do livro DNS Security: Defending the domain name system de Allan Liska e Geoffrey Stowe é publicada por acordo com a Elsevier Inc., uma corporação de Delaware estabelecida no endereço 360 Park Avenue South, New York, NY 10010, EUA. Novatec Editora Ltda Todos os direitos reservados e protegidos pela Lei de 19/02/1998. É proibida a reprodução desta obra, mesmo parcial, por qualquer processo, sem prévia autorização, por escrito, do autor e da Editora. Editor: Rubens Prates Tradução: Lúcia A. Kinoshita Revisão gramatical: Priscila A. Yoshimatsu Editoração eletrônica: Carolina Kuwabata ISBN: Histórico de impressões: Novembro/2016 Primeira edição Novatec Editora Ltda. Rua Luís Antônio dos Santos São Paulo, SP Brasil Tel.: novatec@novatec.com.br Site: Twitter: twitter.com/novateceditora Facebook: facebook.com/novatec LinkedIn: linkedin.com/in/novatec

3 Sumário Sobre os autores Agradecimentos Capítulo 1 Compreendendo o DNS Introdução...16 História do DNS Arquivo hosts.txt Problemas com correio eletrônico RFCs 819 e Rumo à comercialização Raiz (root) Servidores recursivos e autoritativos...31 Servidores de nomes recursivos...31 Servidores de nomes autoritativos Arquivos de zona Registros de recursos Registros de endereço...41 Registros de nomes canônicos Registros de servidor de mensagens Registros de servidores de nomes Registros de ponteiros Registros de informações de host Registros de servidores Registros de texto Conclusões Notas

4 8 Segurança de DNS Capítulo 2 Problemas com segurança de DNS...48 Introdução Uma breve história das brechas de segurança de DNS Por que a segurança de DNS é importante? Problemas comuns de segurança de DNS Desenvolvendo um plano de segurança de DNS Notas Capítulo 3 Erros de configuração de DNS Introdução Vulnerabilidades de servidores DNS Fingerprinting em servidores DNS Buffer overflows, condições de concorrência e execução com privilégios desnecessários Erros humanos Conclusões Notas Capítulo 4 Exploração de falhas de DNS de origem externa...90 Introdução Envenenamento de cache Caching no navegador web DNS spoofing Ataques DDoS usando DNS Usando DNS como canal para Comando e Controle ou exfiltração Conclusões Notas Capítulo 5 Reconhecimento de DNS Introdução Whois Fontes de dados do Whois Mapeamento da infraestrutura de DNS Fingerprinting de DNS DNS reverso DNS cache snooping DNS passivo

5 Sumário 9 Coleta de dados de consultas Conclusões Notas Capítulo 6 Segurança de rede com DNS Introdução Localização dos servidores DNS Infraestrutura pública e privada de DNS Logging e monitoração de tráfego de DNS Marcando domínios ruins Marcando consultas de DNS DNS e SIEM DNS passivo Domínios fast-flux Firewalls de DNS e RPZ Listas negras, listas brancas e outros dados de inteligência contra ameaças de DNS Conclusões Notas Capítulo 7 Segurança no BIND Introdução Executando o BIND em uma prisão chroot Técnicas de evasão de fingerprint Limitação da taxa de respostas Consultas e transferências Usando TSIG para assinar transferências de zona Zonas de política de resposta Logging Conclusões Notas Capítulo 8 Segurança de DNS no Windows Introdução Garantindo a segurança dos arquivos de DNS no Windows Controle de DNS dinâmico Consultas e transferências DNS em estações de trabalho com Windows...215

6 10 Segurança de DNS Windows e DDoS Servidores de caching no Windows DNS no Windows e alta disponibilidade Instruções para configuração do Windows Prazo para restauração Implicações quanto à segurança Logging Análise de logs no Windows Conclusões Notas Capítulo 9 Terceirização de DNS Introdução Terceirização de DNS Decidindo quanto deve ser terceirizado DNS gerenciado DNS dividido Terceirizando o DNS recursivo Trabalhando de forma segura com um provedor de DNS Monitorando a infraestrutura de DNS Terceirização de DNS e DDoS Conclusões Notas Capítulo 10 DNSSEC Informações contidas neste capítulo Introdução Histórico Descrição geral da criptografia e o TLS Protocolo do DNSSEC Respostas NXDOMAIN Implementando o DNSSEC no Linux Implementando o DNSSEC no Windows Administrando uma zona de DNSSEC Administrando os prazos de validade das chaves Validação Look-aside do DNSSEC Outros usos do DNSSEC DNSSEC e a amplificação de DDoS...274

7 Sumário 11 Críticas ao DNSSEC Conclusões Notas Capítulo 11 Anycast e outros protocolos de DNS Informações contidas neste capítulo Introdução Motivação para o anycast Anycast Implementação do anycast Anycast e DDoS DNS multicast Descoberta de serviços de DNS Tor Hidden Services BitTorrent/DNS P2P Conclusões Notas