APNIC文摘—DNS RPZ:讓DNS成為另一層防護網

本APNIC文摘原標題為DNS RPZ: Using the DNS as a layer of defence,由APNIC社群講師同時身為RIPE Atlas大使的Swapneel Patnekar 撰文。

網域名稱系統(Domain Name System,DNS)是網際網路的關鍵要素。但就像所有重要的東西一樣,很多惡意人士喜歡把DNS當成攻擊目標。也因此,了解如何保護DNS安全,尤其對於維運自有解析器的人而言特別重要。

COVID-19全球疫情導致許多人必須在家工作。自有裝置的安全性不足和家用網路的弱點,也成為資安專家關心的重要議題。 從安全角度來看,家用網路和企業網路大相逕庭。家用網路「平面化網路」(flat network)的本質有兩個不容忽視的短處:一是單一廣播網域導致無法分隔訊務,二是惡意訊務在平面化網路中傳播更快也更容易。

在一般DNS運作中,遞迴解析器(recursive resolver)的角色最為吃重。而隨著網際網路進化,負責營運遞迴解析器的人也從使用者自己、ISP業者,轉移到今日的雲端解析器。然而作者認為,若要追求DNS解析速度,解析器是離使用者越近越好。這也是為什麼作者極度推薦讀者維運自己的DNS解析器。

不僅是速度,作者強調,若想如標題所言,利用DNS為平面化網路加裝一層便宜的防護網,你絕對必須擁有自己的遞迴解析器。

DNS Response Policy Zones(RPZ) 是一種類似防火牆的安全措施,重點是經濟實惠。有了RPZ,域名伺服器管理者可以在全球DNS上套用個人化域名管理政策,如為特定DNS查詢另外設定路徑。這做法最常用於對付惡意域名。

RPZ是相對新的做法,目前也還在「標準化」階段。有興趣的讀者,可在此閱讀RPZ的最新提案。RPZ的一個關鍵特色是非廠商導向(vendor-neutral),而且BIND、Unbound和PowerDNS Recursor都支援RPZ。

後續作者也將另行撰文,詳細介紹如何在ISC BIND9中設定RPZ饋送(feed)。

*台灣網路資訊中心(TWNIC)與亞太網路資訊中心(APNIC)合作,定期精選APNIC Blog文章翻譯摘要,提供中心部落格讀者了解目前亞太地區網路發展之最新趨勢。原文標題為DNS RPZ: Using the DNS as a layer of defence

Photo created by freepik

Leave a Comment

發佈留言必須填寫的電子郵件地址不會公開。 必填欄位標示為 *

Scroll to Top