中国移动BIND域名解析软件安全配置规范V1.0.doc

1、版 本 号 ： 1.0.0中国移动通信有限公司网络部 - - 发 布 - - 实 施中 国 移 动 BIND 域 名 解 析软 件 安 全 配 置 规 范安 全 配 置 规 范Specification for BIND Software Configuration Used in China Mobile中国移动 BIND 域名解析软件安全配置规范目录1 概述 11.1 适用范围 .11.2 内部适用性说明 .11.3 外部引用说明 .21.4 术语和定义 .21.5 符号和缩略语 .22 BIND 域名解析软件安全配置要求 .32.1 记录安全事件到文件 32.2 隐藏 BIND 版本信息

2、 .42.3 禁止 DNS 域名递归查询 .42.4 增加查询 ID 的随机性 52.5 限制域名查询 52.6 限制域名递归查询 62.7 指定动态 DNS 更新主机 .62.8 指定动态 DNS 更新主机 .72.9 指定不接受区域请求 72.10 指定不接受区域请求 82.11 定义 ACL 地址名 .92.12 控制管理接口 102.13 防止 DNS 欺骗 .102.14 设置重试查询次数 112.15 防止污染高速缓存（ Cache） 12中国移动 BIND 域名解析软件安全配置规范前言为了贯彻安全三同步的要求，在设备选型、入网测试、工程验收以及运行维护等环节，明确并落实安全功能和

3、配置要求。有限公司组织部分省公司编制了中国移动设备安全功能和配置系列规范。本系列规范可作为编制设备技术规范、设备入网测试规范，工程验收手册，局数据模板等文档的依据。本规范是该系列规范之一，明确了中国移动各类型设备所需满足的通用安全功能和配置要求，并作为本系列其他规范的编制基础。本标准起草单位：中国移动通信有限公司网络部、中国移动集团北京公司。本标准解释单位：同提出单位。本标准主要起草人：王 悦、陈敏时、周智、曹一生。中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 1 页 共 16 页1 概述1.1 适用范围本规范适用于中国移动互联网使用 BIND 软件进行域名解析的 DNS

4、 系统。本规范明确了 BIND 域名解析软件安全配置方面的基本要求。BIND：全称是 Berkeley Internet Name Domain（伯克利因特网名字系统） 。官方网址：http:/www.isc.org/。它主要有 3 个版本：BIND 4，BIND 8，BIND9。BIND 没有 5，6，7这几个版本，一下就跳到 8 了，在 BIND8 以后的版本里融合了许多提高效率，稳定性和安全性的技术。BIND 安全选项非常多，应针对 BIND 服务软件进行安全配置，充分利用 BIND 自身已经实现的保护功能加强 BIND 安全性，从而能抵御目前已知的 BIND 安全漏洞，并尽可能使潜在的

5、安全漏洞对 DNS 服务造成最小的影响。BIND 安全配置可完成针对限制域传输、限制查询、防止 DNS 欺骗、设置重试查询次数、修改 BIND 的版本信息等 Bind 系统安全配置。本规范基于 BIND9.x.x 以上的版本提供了安全配置操作方法。1.2 内部适用性说明本规范是在中国移动设备通用设备安全功能和配置规范 （以下简称通用规范）各项设备配置要求的基础上，提出的 BIND 域名解析软件安全配置规范。本规范新增的安全配置要求，如下：安全要求-设备-通用-BIND- 配置-1安全要求-设备-通用-BIND- 配置-2安全要求-设备-通用-BIND- 配置-3安全要求-设备-通用-BIND-

6、 配置-4安全要求-设备-通用-BIND- 配置-5安全要求-设备-通用-BIND- 配置-6安全要求-设备-通用-BIND- 配置-7安全要求-设备-通用-BIND- 配置-8安全要求-设备-通用-BIND- 配置-9安全要求-设备-通用-BIND- 配置-10安全要求-设备-通用-BIND- 配置-11中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 2 页 共 16 页安全要求-设备-通用-BIND- 配置-12安全要求-设备-通用-BIND- 配置-13安全要求-设备-通用-BIND- 配置-14安全要求-设备-通用-BIND- 配置-151.3 外部引用说明中国移动

7、设备通用安全功能和配置规范1.4 术语和定义1、 域名系统 DNS（Domain Name System）是域名解析服务的意思，它在互联网的作用是：把域名转换成为网络可以识别的 ip 地址。2、 名字服务器和区：存储关于域名空间信息的程序叫做名字服务器（name server） 。名字服务器通常含有域名空间中某一部分的完整信息，这一部分成为区（zone ） ，区的内容是从文件或其他名字服务器中加载而来的。3、 递归或递归解析（recursive resolution ）：名字服务器在收到递归查询时所采用的解析过程。4、 反复（iteration）或反复解析（iteration resoluti

8、on）：名字服务器在收到反复查询时所使用的解析过程。5、 DNS 通知（ DNS NOTIFY）：允许一个区（zone）的主名字服务器在序列号增加的时候通知该区（zone）的辅名字服务器。1.5 符号和缩略语缩写 英文描述 中文描述BIND Berkeley Internet Name Domain 伯克利因特网名字域系统DNS Domain Name System 域名系统ISC Internet Systems Consortium 互联网（系统）协会Recursive recursive 递归方式Iterative iterative 反复方式Nonrecursive onrecursi

9、ve 非递归方式Resolution resolution 解析query query 查询中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 3 页 共 16 页2 BIND 域名解析软件安全配置要求本规范所指的 BIND 为域名解析软件。本规范提出的安全配置要求，在未特别说明的情况下，均适用于 BIND9.x.x 以上版本的域名解析软件。本规范只基于 BIND9.x.x 域名解析软件自身提供的安全特性进行描述，不包括承载 BIND 软件的操作系统的安全性以及外部网络设备、安全设备所提供的域名解析安全配置。2.1 记录安全事件到文件编号：安全要求-设备- 通用-BIND-配置

10、-1要求内容 解决遇到的各种的异常问题，记录日志和认真地读取日志文件是系统管理员的一项非常重要的任务，所以要记录安全事件到文件中，同时还要保持原有的日志模式。检测方法 检测 /etc/bind/named.conf 文件中是否有如下内容：logging 操作指南 在 /etc/bind/named.conf 文件中增加如下内容：logging channel my_security_channel file “my_security_file.log“ versions 3 size 20m; severity info; ; category security my_security_cha

11、nnel; 中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 4 页 共 16 页default_syslog; default_debug; ; 其中 my_security_channel 是用户自定义的 channel 名字，my_security_file.log 是安全事件日志文件，可包含全路径（否则是以 named 进程工作目录为当前目录） 。安全事件日志文件名为my_security_file.log，保存三个最近的备份（my_security_file.log0、my_security_file.log1、my_security_file.log2） ，日志文

12、件的最大容量为 20MB（如果达到或超这一数值，直到该文件被再次打开前，将不再记录任何日志消息。缺省（省略）时是没有大小限制。 ）操作结果 日志记录完整，所有异常问题都会在日志文件记录。2.2 隐藏 BIND 版本信息编号：安全要求-设备- 通用-配置-2要求内容 通过 DNS 服务查询 BIND 版本号时，返回的信息 BIND 版本信息。检测方法 检测 /etc/bind/named.conf 文件中是否有如下内容：version “Who knows?“;操作指南 在 /etc/bind/named.conf 文件中增加如下内容：version “Who knows?“;操作结果 如果通过

13、 DNS 服务查询 BIND 版本号时，返回的信息就是“Who knows?“。2.3 禁止 DNS 域名递归查询编号：安全要求-设备- 通用-配置-3要求内容 针对非递归服务器，要禁止 DNS 域名递归查询，在 options（或特定 zone 区域）中增加。中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 5 页 共 16 页检测方法 检测 /etc/bind/named.conf 文件中是否有如下内容：recursion no; fetch-glue no;操作指南 在/etc/bind/named.conf 文件中的 options（或特定的 zone 区域）节中增加

14、：recursion no; fetch-glue no;操作结果 防止了 DNS 域名递归查询。2.4 增加查询 ID 的随机性编号：安全要求-设备- 通用-BIND-配置-4要求内容 服务器将跟踪其出站查询 ID 值以避免出现重复，并增加随机性。检测方法 检测 /etc/bind/named.conf 文件的 options 节中是否有如下内容：use-id-pool no操作指南 在/etc/bind/named.conf 文件中的 options 节中增加如下内容： use-id-pool yes操作结果 这将会使服务器多占用超过 128KB 内存。 （缺省值为 no）2.5 限制域名

15、查询编号：安全要求-设备- 通用-BIND-配置-5要求内容 要限制对 DNS 服务器进行域名查询的主机检测方法 检测 /etc/bind/named.conf 文件的 options 节中是否有如下内容：allow-query ; address_match_list 是允许进行域名查询的主机 IP 列表，如“1.2.3.4; 5.6.7/24;“。操作指南 在/etc/bind/named.conf 文件的 options（或特定的 zone 区域）节中增加：allow-query ; address_match_list 是允许进行域名查询的主机 IP 列表，如中国移动 BIND 域名解

16、析软件安全配置规范中国移动通信集团公司第 6 页 共 16 页“1.2.3.4; 5.6.7/24;“。操作结果 不会对系统造成任何不良的影响。2.6 限制域名递归查询编号：安全要求-设备- 通用-BIND-配置-6要求内容 要限制对 DNS 服务器进行域名递归查询的主机检测方法 检测 /etc/bind/named.conf 文件的 options 节中是否有如下内容：allow-recursion ; address_match_list 是允许进行域名递归查询的主机 IP 列表，如 “1.2.3.4; 5.6.7/24;“。操作指南 在/etc/bind/named.conf 文件的 o

17、ptions（或特定的 zone 区域）节中增加：allow-recursion ; address_match_list 是允许进行域名递归查询的主机 IP 列表，如 “1.2.3.4; 5.6.7/24;“。操作结果 不会对系统造成任何不良的影响。2.7 指定动态 DNS 更新主机编号：安全要求-设备- 通用-BIND-配置-7要求内容 缺省时为拒绝所有主机的提交动态 DNS 更新主机，我们可以根据需要指定允许哪些主机向本 DNS 服务器提交动态 DNS 更新。检测方法 检测 /etc/bind/named.conf 文件的 options 节中是否有如下内容：allow-update ;

18、 address_match_list 是允许向本 DNS 服务器提交动态 DNS 更新的主机 IP 列表，如 “1.2.3.4; 5.6.7/24;“。操作指南 在/etc/bind/named.conf 文件的 options（或特定的 zone 区域）中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 7 页 共 16 页节中增加： allow-update ; address_match_list 是允许向本 DNS 服务器提交动态 DNS 更新的主机 IP 列表，如 “1.2.3.4; 5.6.7/24;“。操作结果 不会对系统造成任何不良的影响。2.8 指定动态 D

19、NS 更新主机编号：安全要求-设备- 通用-BIND-配置-8要求内容 要限制对 DNS 服务器进行区域记录传输的主机。检测方法 检测 /etc/bind/named.conf 文件的 options 节中是否有如下内容：allow-transfer ; address_match_list 是允许进行区域记录传输的主机 IP 列表，如“1.2.3.4; 5.6.7/24;“。操作指南 在 /etc/bind/named.conf 文件的 options（或特定的 zone 区域）节中增加： allow-transfer ; address_match_list 是允许进行区域记录传输的主机

20、IP 列表，如“1.2.3.4; 5.6.7/24;“。操作结果 不会对系统造成任何不良的影响。2.9 指定不接受区域请求编号：安全要求-设备- 通用-BIND-配置-9要求内容 要指定不接受哪些服务器的区域记录传输请求检测方法 检测 /etc/bind/named.conf 文件的 options 节中是否有如下内容：blackhole ; address_match_list 是不接受区域记录传输请求的主机 IP 列表，中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 8 页 共 16 页如“1.2.3.4; 5.6.7/24;“。操作指南 在 /etc/bind/nam

21、ed.conf 文件的 options（或特定的 zone 区域）节中增加： blackhole ; address_match_list 是不接受区域记录传输请求的主机 IP 列表，如“1.2.3.4; 5.6.7/24;“。操作结果 不会对系统造成任何不良的影响。2.10 指定不接受区域请求编号：安全要求-设备- 通用-BIND-配置-10要求内容 要指定不接受哪些服务器的区域记录传输请求检测方法 检测 /etc/bind/named.conf 文件的 options 节中相关内容。操作指南 在 options 节中还有一些资源限制选项，不同用户可根据实际情况灵活设置，但一定要注意不当的设

22、置会损失 DNS 服务的性能。coresize ; / core dump 的最大值。缺省为 default。 datasize ; / 服务器所使用的最大数据段内存。缺省为 default。 files ; / 服务器能同时打开的最大文件数。缺省为 / unlimited（不限制，注意，并非所有操作系统都支持这一选项。 ） max-ixfr-log-size ; /限制增量区域记录传输时会话日志的大小。 stacksize ; / 服务器所使用的最大堆栈段内存。缺省为 default。操作结果 上述操作建议不会对系统造成不良影响。中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公

23、司第 9 页 共 16 页2.11 定义 ACL 地址名编号：安全要求-设备- 通用-BIND-配置-11要求内容 定义 ACL 地址名（即用于上面的） 。注意，如果要使用这里定义的列表名，必须先定义后使用！检测方法 检测 /etc/bind/named.conf 文件的相关内容：acl intranet acl partner ;操作指南 在 /etc/bind/named.conf 文件中增加：acl intranet 192.168/16; ; acl partner !172.16.0.1; 172.16/12; / 除 172.168.0.1 外172.16.0.0/12 网络中其它

24、主机 ; BIND 已内置以下四个 ACL： all / 允许所有主机 none / 禁止所有主机 localhost / 本机的所有网络接口 localnets / 本机所在网络操作结果 上述操作建议不会对系统造成不良影响。中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 10 页 共 16 页2.12 控制管理接口编号：安全要求-设备- 通用-BIND-配置-12要求内容 BIND 域名服务器的一个有用功能，controls 提供管理接口。如果使用第一种(inet)，则在指定 IP（接口）和端口上监听，但只允许在 allow 中限定允许与其连接的 IP 地址列表。如果使用

25、第二种(unix)，则产生一个 FIFO 的控制管道，权限、属主和用户组都由其参数限定。检测方法 检测 /etc/bind/named.conf 文件的相关内容：controls ;操作指南 在 /etc/bind/named.conf 文件中增加（注意控制管理接口controls 节语法格式）：controls inet ip_addr port ip_port allow ; ; unix path_name perm number owner number group number; ; 操作结果 上述操作建议在正确配置时不会对系统造成不良影响。2.13 防止 DNS 欺骗编号：安全要求

26、-设备- 通用-BIND-配置-13要求内容 DNS 欺骗指攻击者通过先捕捉用户查询包，然后通过猜测序列中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 11 页 共 16 页号，假冒域名服务器返回查询地址使查询者收到虚假 IP，其危害极大。现有的大多数 DNS 服务的实现存在两个比较危险的漏洞：其一为当 DNS 服务器收到一个合法的 DNS 应答信息时它会接受这一返回包中的所有信息，并存入 CACHE。其二是当 DNS 服务器发查询包时，它在包内有一 query id，应答信息只有 query id 及 ip 地址都对上时才能为服务器所接受。而此 id 是可以预测的，这就给

27、了入侵者以可乘之机.操作指南 防止入侵者上述漏洞的话，可以采取以下的方法：1. 加强内网的安全性，使用性能优良的交换机作为网络连接设备，这样可以隔离点播，在一定范围内实现对监听的控制。如果认为必要的话，可以作一脚本定时清除 CACHE。或者禁止 DNS的递归查询，如果系统允许 DNS 的递归查询的话，将会给攻击者实施 DNS 欺骗造成可乘之机。操作结果 上述操作建议在正确配置时不会对系统造成不良影响，但建议谨慎使用。2.14 设置重试查询次数编号：安全要求-设备- 通用-BIND-配置-14要求内容 辅名字服务器在收到来自其主名字服务器的某个区的 NOTIFY请求时，它就发送一个 NOTIFY

28、 响应。这个响应告诉主名字服务器，该辅名字服务器已经收到 NOTIFY 请求，这样它就停止发送该区的NOTIFY 消息了，然后辅名字服务器就会象刷新计时器到期了一样操作：他向主名字服务器查询，请求那个主名字服务器声称已经改变了的区 SOA 记录。如果序列号较高，辅名字服务器就传送该区。如果有人给辅名字服务器发送假冒的 NOTIFY 请求，造成许多不必要的区传送，从而产生对主名字服务器的 dos 攻击。中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 12 页 共 16 页操作指南 如果要防止此类攻击的发生，可以采用以下的方法：在 BIND 中 DNS NOTIFY 是缺省打开

29、的，可以通过使用下面的配置全部关闭该功能：options notify no;也可以针对某个区打开或关闭该功能。例如，下面的语句可以使得 区不会向 的辅名字服务器发送 NOTIFY 消息，也可以只针对某一台辅名字服务器发送 NOTIFY 消息：zone “” type master;file “db.abc”;notify no;操作结果 上述操作建议在正确配置时不会对系统造成不良影响，但建议谨慎使用。2.15 防止污染高速缓存（Cache）编号：安全要求-设备- 通用-BIND-配置-15要求内容 攻击者可以通过猜测 DNS 解析过程中的报文序列号来伪造 DNS 权威服务器的应答，从而达

30、到“污染”高速缓存（Cache）中的记录的目的，即将错误的域名指向信息注入 DNS 服务器，最终导致受到污染的 DNS 服务器将对外提供错误的解析结果。该种攻击方式可造成域名劫持攻击，使得公众在不知情的情况下通过域名访问到黑客指定的网站，面临网络钓鱼和网页木马等一系列严重的安全威胁。 该攻击出现时，会短时出现大量伪造的域名解析响应数据包，呈现拒绝服务攻击特点，这些数据包的源 IP、目的 IP、解析的 IP 地址相同，但序列号不同。操作指南 针对该漏洞，可采取以下措施进行防范：1、在防火墙设备上配置相应的规则加以屏蔽或过滤中国移动 BIND 域名解析软件安全配置规范中国移动通信集团公司第 13 页 共 16 页2、定期清理 DNS 缓存或在发现异常访问后清理缓存。在 crontab 中增加定期清理脚本：#Crontab e 插入一下0 5 * * * cd /usr/local/named/sbin;/usr/local/named/sbin/rndc flush ;操作结果 上述操作建议在正确配置时不会对系统造成不良影响。