[binesh]

برای حفاظت درمقابل نقطه آسیب پذیرمرتبط BIND چکارکنیم؟

[binesh]

نرم افزار BIND در مقياس گسترده ای و بمنظور پياده سازی DNS (Domain Name Service) استفاده می گردد. BINDسيستمی حياتی است که از آن بمنظور تبديل اسامی ميزبان به آدرس IPريجستر شده ،استفاده می گردد . با توجه به استفا ده وسيع ازBIND و جايگاه حياتی آن در يک شبکه کامپيوتری ، مهاجمان آن را بعنوان يک هدف مناسب بمنظور انجام حملات انتخاب و حملات متنوعی را درارتباط با آن انجام داده اند .
با اينکه پياده کنندگان BIND تلاشی مستمر را از گذشته تا کنون بمنظور برطرف نمودن نقاط آسيب پذيرانجام داده اند ، ولی هنوز تعداد زيادی از نقاط آسيب پذير قديمی ، بدرستی پيکربندی نشد ه وسرويس دهندگان آسيب پذير در آن باقی مانده است .
حمله به BIND معمولا از نوع Denila Of Service (DOS) است که باعث از کار افتادن سرویس DNS و عدم دستیابی به اینترنت برای سرویس های مربوطه و میزبانان را می تواند به دنبال داشته باشد. با اينکه پياده کنندگان BIND تلاشی مستمر را از گذشته تا کنون بمنظور برطرف نمودن نقاط آسيب پذير انجام داده اند ، ولی هنوز تعداد زيادی از نقاط آسيب پذير قديمی ، بدرستی پيکربندی نشد ه و سرويس دهندگان آسيب پذير در آن باقی مانده است .

بمنظور حفاظت در مقابل نقاط آسيب پذير مرتبط باBINDموارد زير پيشنهاد می گردد :
غير فعال نمودنBIND deamon (به آن named نيز اطلاق می گردد) بر روی سيستم هائی که بعنوان يک سرويس دهنده DNS در نظر گرفته نشده اند . بمنظورپيشگيری ازاعمال برخی تغييرات خاص ) نظير فعال نمودن مجدد آن(، می توان نرم افزار BINDرا از روی اينگونه سيستم ها حذف نمود.
بمنظور بهنگام سازی سرويس دهنده DNSاز تمامی ،Patchهای ارائه شده توسط توليد کنندگان استفاده و در صورت امکان آن را به آخرين نسخه موجود ارتقاء دهيد . برای دريافت اطلاعات تکميلی در رابطه با نصب مطمئن ترBINDاز مقالات ارائه شده درسايت CERT و بخش Checklist UNIX Security استفاده نمائيد .
بمنظور پيچيده تر نمودن حملات اتوماتيک و يا پويش سيستم مورد نظرBannerمربوط به Version String" " را ازBINDحذف و نسخه واقعیBINDرا با يک شماره نسخه غيرواقعی در فايل named.conf ،جايگزين نمائيد .
امکان Recursion و glue fetching را بمنظور حفاظت در مقابل عماکرد ناصحيح DNS Cacheغير فعال نمائيد .
بمنظور حفاظت در رابطه با استفاده از named"" و تحت تاثير قرار دادن تمامی سيستم BIND ر ا محدود نمائيد . بنابراين BIND بعنوان يک کاربر non privilege در دايرکتوری Chroot اجراء می گردد . برای نسخه شما ره BIND 9 ازآدرس <!-- m --><a class="postlink" href="http://www.losurs.org/docs/howto/Chroot-BIND.html">http://www.losurs.org/docs/howto/Chroot-BIND.html</a><!-- m --> استفاده نمائید.
بمنظور حفاظت در مقابل حملات اخير و مرتبط با نقاط آسيب پذير کشف شدهBINDمی توان از منابع زير استفاده نمود:
برای نقطه آسيب پذير DoS در رابطه با ISC BIND 9 از آدرس http//www.cert.org/advisories/CA-2002-15.html استفاده گردد.
چندين نقطه آسيب پذير DoS در رابطه با ISC BIND 8 از آدرس <!-- m --><a class="postlink" href="http://www.isc.org/products/BIND/bind-security.html">http://www.isc.org/products/BIND/bind-security.html</a><!-- m --> استفاده گردد .
برای آگاهی و استفاده از پيشنهادات لازم بمنظور نصب ايمن تر BIND بر روی سيستم های سولاريس ، می توان از آدرس: Running the BIND9 DNS Server Securelyو آرشيو مقالات ارائه شده در آدرس Afentis استفاده نمود.