Prevención de ataques DNS
Vemos muchos tipos de ataques DNS a NxFilter estos días. Esto es especialmente cierto cuando se pone NxFilter en la nube. En los viejos tiempos, no le damos mucha
atención a este problema ya que se supone que NxFilter está en una red local. Sin embargo, tenemos más y más usuarios que quieren ejecutar NxFilter
en la nube y también tenemos NxCloud que es para proveedores de servicios de filtrado basados en la nube. Por lo tanto, queremos discutir sobre algunas características que NxFilter y NxCloud
ya tienen para prevenir ataques DNS.
Control de acceso por bloques IP
No necesitas proporcionar tu servicio a todo el mundo. Puede que quiera aceptar peticiones DNS de
de determinados países o bloques IP. Puede crear su lista de control de acceso por países o bloques IP
y añadirla en DNS > Access Control.
Cuando su control de acceso es demasiado grande, su navegador no puede publicar todo el contenido. En ese caso, es mejor crear un archivo 'dns-allow-ip.txt' para
IP permitida para DNS' y 'dns-block-ip.txt' para 'IP bloqueada para DNS' en el directorio /nxfilter/conf. Puede rellenar estos archivos en el mismo formato
que en la GUI. Cuando utilice clustering, tiene que copiar estos ficheros en todos los nodos.
Habilitar autenticación
NxFilter es un servidor DNS que soporta autenticación de usuario. Debe habilitar la autenticación de usuario para restringir el acceso a usuarios desconocidos.
Cuando habilite la autenticación, todos aquellos usuarios desconocidos o posibles atacantes serán redirigidos a su página de acceso.
Deshabilitar redirección de login
Cuando habilite la autenticación de usuarios, NxFilter responderá a los ataques DNS con su redirección de inicio de sesión o dirección IP de redirección de bloqueo.
Así, no hay consultas upstream ni procesamiento adicional. Sin embargo, los atacantes siguen pensando que hay un servidor DNS al que atacar ya que obtienen
una respuesta de todos modos. Para ocultar completamente tu servidor de estos atacantes, tenemos la opción 'Disable Login Redirection' en System > Setup.
Para NxCloud, Login Redirection está desactivado por defecto ya que se supone que debe estar en la nube en primer lugar.
Bloquear tipos específicos de peticiones DNS
Algunos atacantes envían sólo tipos específicos de peticiones DNS para su propio propósito. El caso más conocido es el uso de peticiones DNS de tipo 'Cualquiera' para
para atacar a un servidor víctima con paquetes DNS de mayor tamaño. Puede bloquear o permitir sólo tipos específicos de peticiones en DNS > Server Protection.
Elimina consultas para dominios locales
Cuando ejecutas NxFilter en la nube, no quieres responder a consultas para dominios '.local' o 'WPAD' como nombres de host sin dominios o búsquedas inversas para IPs privadas.
para IPs privadas. Para bloquear dominios locales, puedes añadir una entrada para '.local' y '.localdomain' en Whitelist > Domain. Para nombres de host sin
y búsquedas inversas de IP privadas, ya tenemos las opciones necesarias en DNS > Server Protection.