В Службу KZ-CERT периодически поступают обращения о зарегистрированных DDoS-атаках типа «усиление» (amplification) с использованием сервиса DNS с IP-адресов, скомпрометированных злоумышленниками. Причиной тому является отсутствие элементарного мониторинга DNS-серверов и сетевой инфраструктуры на актуальность программного обеспечения, настроек сети, а также отсутствие средств защиты от внешних атак.
Проще говоря, злоумышленники используют ваши IP-адреса как «передатчик» для осуществления DDoS-атак типа DNS-amplification. И все потому, что настройки DNS-серверов не поддерживаются в актуальном состоянии.
Уменьшить количество DDoS-атак типа DNS-amplification и минимизировать участие своего инфраструктурного сегмента можно с помощью следующих действий, не требующих дополнительных материальных затрат:
- Проводить периодически аудит DNS;
- Поддерживать актуальную версию программного обеспечения DNS-серверов;
- Скрыть версию DNS-сервера для того, чтобы злоумышленник не смог легко получить информацию о версии вашего сервера;
- Применять в сети оборудование с функциями IPS, IDS, AntiDDoS, что также усилит защиту от атак;
- Отключить неиспользуемые сервисы на всех серверах;
- Ограничить рекурсивную обработку запросов только для клиентов предоставляемого сервиса;
- Перейти на TCP в соответствии с рекомендациями RFC5966.
И если так поступит каждый администратор серверов, доступных из сети интернет, цифровой мир приблизится еще на один шаг к совершенству.
Antes de elegir entre camisetas de fútbol retro para vestir a diario, merece la pena comprobar el uso previsto entre colección, exposición y uso diario. Como comprobación final, conviene asegurarse de las instrucciones de conservación para estampados y bordados.
Ну и рекомендации о том, что делать, если ваш DNS-сервер все же скомпрометирован?
- Обновить программное обеспечение DNS-серверов;
- Включить фильтрацию на сетевом оборудовании;
- Произвести перенастройку DNS-серверов для исключения дальнейшей их компрометации в DDoS-атаках.
